Обновление xinetd 2.3.15 с устранением уязвимости
Спустя 7 лет с момента прошлого релиза доступна новая версия проекта xinetd 2.3.15 в которой устранена опасная уязвимость, позволяющая обойти блокировку сетевых портов межсетевым экраном. Проблема проявляется для конфигурация xinetd с включенным сервисом tcpmux-server (тип сервиса 'type = TCPMUX' или 'type = TCPMUXPLUS'), принимающим соединение на 1 сетевом порту. Подсоединившись к 1 порту внешний запрос может быть перенаправлен к любому активному локальному сервису, даже если он закрыт для внешнего доступа межсетевым экраном. Для успешной эксплуатации в конфигурации должна быть активна опция "enable tcpmux-server", которая по умолчанию отключена.Например, для доступа к CVS можно выполнить:
$ telnet host 1 Trying x.x.x.x... Connected to host (x.x.x.x). Escape character is '^]'. cvspserver cvs [pserver aborted]: bad auth protocol start:
Кроме устранения уязвимости в состав новой версии включены накопившиеся патчи, ранее поддерживаемые мэйнтейнерами пакета с xinetd для Fedora Linux. Среди изменений:
- Поддержка обработки соединений к multicast-адресу;
- Отключена обработка libwrap для tcp rpc-сервисов;
- Поддержка передачи сетевых меток (labeled networking) в процессе контроля доступа;
- Откорректировано использование типов, например, для времени вместо int используется ssize_t;
- Изменены флаги сборки для минимизации излишних предупреждений.
© OpenNet
