John Goerzen

يوجد تجاوز في ذاكرة التخزين المؤقت للكومة (heap buffer overflow) في الدالة `putsrv()` ضمن الملف `ckcfns.c`. تحدث هذه المشكلة عندما يعالج البرنامج حزمًا مصممة خصيصًا، مما يسمح للأطراف الخبيثة بالكتابة خارج نطاق المخزن المؤقت `srvcmd`. وبشكل محدد، يمكن للمهاجمين استخدام ضغط عدد التكرارات في Kermit ضمن حزم أوامر الخادم، أو طلبات GET، أو حزم ترويسة الملفات لكتابة بايتات مختارة من قبل المهاجم تتجاوز ذاكرة التخزين المؤقت للكومة على الخوادم أو المثيلات المستقبلة.

يسمح خلل في حقن أوامر نظام التشغيل للعملاء عن بُعد بتنفيذ أوامر shell على مضيف الخادم. يحدث هذا عند تقديم وسيطات غير مقتبسة إلى نقاط النهاية 'REMOTE WHO' أو 'REMOTE SPACE'. يمكن للمهاجمين إلحاق رموز shell الخاصة بالوسيطات الممرة عبر `WHOCMD` أو `SPACM2` إلى دالة `syscmd()`، مما يؤدي إلى تنفيذ الأوامر على مضيف الخادم حتى عند تعيين DISABLE HOST.

يمكن تنفيذ رمز عن بُعد على الخوادم التي تم فيها تعطيل أوامر المضيف. يحدث هذا من خلال إساءة استخدام تقييم REMOTE QUERY، مما يسمح للعملاء بتنفيذ أوامر shell. يمكن للمهاجمين تحقيق ذلك عن طريق إرسال REMOTE QUERY تستدعي دالة `command` أو تعريف ماكرو عبر REMOTE ASSIGN واستدعاء `execute` للوصول إلى `RUN` مما يتجاوز قيد `nopush` وإعداد `DISABLE HOST`.

يحتوي إصدار IKSD SSL على مشكلة حيث تظل حالة مصادقة Telnet عند `AUTH VALID` بعد رفض تسجيل الدخول باستخدام الشهادة. يسمح هذا للمهاجم الذي يمتلك شهادة موثوقة مرتبطة بحساب مرفوض بتسجيل الدخول لأي حساب آخر باستخدام أي كلمة مرور، مما يمنحه وصولاً إلى shell ذلك الحساب.

يسمح التحقق غير السليم من الشهادات للمهاجمين عبر تقنية "رجل في المنتصف" (machine-in-the-middle) بانتحال صفة خوادم Telnet. يحدث هذا لأن الدالة `ssl reply()` لا تستدعي الدالة `ssl check server name()`. يمكن للمهاجم رفض START-TLS، وعرض Telnet AUTHENTICATION SSL، وتقديم أي شهادة CA موثوقة لالتقاط بيانات اعتماد المستخدم وبيانات الجلسة.

C-Kermit 8.0.200 before 11.1.515 contains an improper certificate hostname validation vulnerability that allows attackers to impersonate hosts by abusing wildcard matching in dNSName cmp() in ck ssl.c. Attackers holding a trusted certificate with over-matching names containing asterisks, question marks, brackets, or empty labels can intercept credentials and data over Telnet, FTP, and HTTP TLS connections.

C-Kermit from 6.0.192 before 11.1.515 contains a file collision protection bypass that allows malicious senders to append data to existing files by marking transfers as RESEND. The gattr() function in ckcfn3.c clears the REJECT discard flag and switches to APPEND without a RECEIVE CONFIRM prompt, letting attackers modify files such as shell startup files.

C-Kermit 11.0.506 before 11.1.515 contains a RECEIVE CONFIRM bypass vulnerability that allows malicious Kermit servers to write unrequested files without prompting by abusing recursive GET root computation in ckcfns.c. Attackers can send files such as .ssh/authorized keys or shell startup files under the current directory, which rq under root() accepts silently, enabling persistent access or code execution.

C-Kermit 8.0.200 before 11.1.515 contains a path traversal vulnerability in doftpget() in ckcftp.c that allows malicious FTP servers to write files outside the intended directory. Attackers can return absolute paths, tilde names, or dot-dot components in NLST or MLSD listings during MGET /RECURSIVE to overwrite files like .bashrc, leading to code execution.

C-Kermit 6.0.192 before 11.1.515 contains a buffer overflow vulnerability in tn snenv() in ckctel.c that allows malicious Telnet servers to corrupt client memory via crafted NEW-ENVIRON SEND subnegotiation. Malicious or machine-in-the-middle servers can send oversized variable names before authentication, overflowing a 16-byte stack buffer and a miscomputed heap buffer to corrupt stack and heap memory.

C-Kermit 8.0.200 before 11.1.515 contains a buffer overflow vulnerability in getreply() in ckcftp.c that allows malicious FTP servers to overwrite client memory by sending overlong security replies. Attackers controlling or intercepting an FTP server can send long PBSZ replies after AUTH TLS, or long ADAT replies in GSSAPI, Kerberos 4, and SRP builds, overflowing the static reply buf with attacker-controlled bytes.

يمكن لنظام Kermit بعيد أن يقوم بالكتابة فوق ملفات في النظام المحلي أو استرداد ملفات عشوائية من النظام المحلي.

The issue is related to the improper creation of temporary files by gopher.c in the Gopher client, allowing local users to gain privileges.