Vážná bezpečnostní chyba v telnetd z balíčku GNU InetUtils (diskuse)

[xkucf03]

Jsem už trochu alergický na slovo „sanitize“. Vstupy se nemají až tak sanitizovat, ale hlavně mají být vždy jasné hranice mezi daty, jednotlivými hodnotami a příkazy. Nesmí se stát, že se z dat/hodnoty stane příkaz nebo že se z původně atomické hodnoty (např. uživatelské jméno) stane pole/seznam, z nějž se některé prvky interpretují jako příkazy nebo řídící parametry.

[Valgrind]

Vtipna chyba... Ale btw neni jiz pouziti telnetu samo o sobe bezpecnostni chybou ?

[J.K.]

Jenom kdyz telnetujes venku. Na localhostu ti to muze byt putna. Tak jako tak to muzes zazdit sifrovanym tunelem. Treba mame masinu na obalkovani dopisu, pamatujici minule tisicileti a ta zna pouze telnet. Tak ma predrazeny router co dela VPN tunel a konfiguruji masinu telnetem bez vrasek na cele.

[Valgrind]

Treba mame masinu na obalkovani dopisu, pamatujici minule tisicileti a ta zna pouze telnet. Tak ma predrazeny router co dela VPN tunel a konfiguruji masinu telnetem bez vrasek na cele.

Ano, to dava smysl. Dekuji.

[PetebLazar]

Je již známo do jaké míry jde o nezamýšlenou chybu, či záměrnou feature? V roce 2015 by již snad měl být zdokumentován minimálně autor.

Několik let snad vydrželo Debianu generování pouze 65536 různých klíčů v rámci OpenSSL.

[RealJ]

je to samozrejme feature, Izak ti to tady za chvili vysvetli...