John Goerzen

Um estouro de buffer de heap existe na função `putsrv()` dentro do arquivo `ckcfns.c`. Este problema ocorre quando o software processa pacotes manipulados, permitindo que pares maliciosos escrevam dados além do buffer `srvcmd`. Especificamente, invasores podem utilizar a compressão de contagem de repetição do Kermit em pacotes de comando de servidor, GET ou cabeçalhos de arquivo para escrever bytes arbitrários além do buffer de heap em servidores ou instâncias receptoras.

Uma falha de injeção de comando de SO permite que clientes remotos executem comandos de shell no host do servidor. Isso ocorre quando argumentos não citados são fornecidos aos endpoints 'REMOTE WHO' ou 'REMOTE SPACE'. Atacantes podem anexar metacaracteres de shell aos argumentos passados através de `WHOCMD` ou `SPACM2` para a função `syscmd()`, ignorando a configuração DISABLE HOST.

A execução remota de código é possível em servidores onde os comandos de host estão desativados. Isso ocorre devido ao abuso da avaliação de REMOTE QUERY, permitindo que clientes executem comandos de shell. Atacantes podem realizar isso enviando uma REMOTE QUERY que invoca a função `command` ou definindo uma macro via REMOTE ASSIGN e chamando `execute` para alcançar `RUN`, ignorando a restrição `nopush` e a configuração `DISABLE HOST`.

A compilação IKSD SSL contém um problema onde o estado de autenticação do Telnet permanece em `AUTH VALID` após a recusa de um login por certificado. Isso permite que um invasor que possua um certificado confiável mapeado para uma conta recusada se autentique como qualquer outra conta usando qualquer senha, obtendo assim acesso ao shell dessa conta.

A validação inadequada de certificados permite que atacantes de máquina-no-meio (machine-in-the-middle) se passem por servidores Telnet. Isso ocorre porque a função `ssl reply()` não chama a função `ssl check server name()`. Um atacante pode recusar o START-TLS, oferecer AUTHENTICATION SSL do Telnet e apresentar qualquer certificado de CA confiável para capturar credenciais de usuário e dados de sessão.

C-Kermit 8.0.200 before 11.1.515 contains an improper certificate hostname validation vulnerability that allows attackers to impersonate hosts by abusing wildcard matching in dNSName cmp() in ck ssl.c. Attackers holding a trusted certificate with over-matching names containing asterisks, question marks, brackets, or empty labels can intercept credentials and data over Telnet, FTP, and HTTP TLS connections.

C-Kermit from 6.0.192 before 11.1.515 contains a file collision protection bypass that allows malicious senders to append data to existing files by marking transfers as RESEND. The gattr() function in ckcfn3.c clears the REJECT discard flag and switches to APPEND without a RECEIVE CONFIRM prompt, letting attackers modify files such as shell startup files.

C-Kermit 11.0.506 before 11.1.515 contains a RECEIVE CONFIRM bypass vulnerability that allows malicious Kermit servers to write unrequested files without prompting by abusing recursive GET root computation in ckcfns.c. Attackers can send files such as .ssh/authorized keys or shell startup files under the current directory, which rq under root() accepts silently, enabling persistent access or code execution.

C-Kermit 8.0.200 before 11.1.515 contains a path traversal vulnerability in doftpget() in ckcftp.c that allows malicious FTP servers to write files outside the intended directory. Attackers can return absolute paths, tilde names, or dot-dot components in NLST or MLSD listings during MGET /RECURSIVE to overwrite files like .bashrc, leading to code execution.

C-Kermit 6.0.192 before 11.1.515 contains a buffer overflow vulnerability in tn snenv() in ckctel.c that allows malicious Telnet servers to corrupt client memory via crafted NEW-ENVIRON SEND subnegotiation. Malicious or machine-in-the-middle servers can send oversized variable names before authentication, overflowing a 16-byte stack buffer and a miscomputed heap buffer to corrupt stack and heap memory.

C-Kermit 8.0.200 before 11.1.515 contains a buffer overflow vulnerability in getreply() in ckcftp.c that allows malicious FTP servers to overwrite client memory by sending overlong security replies. Attackers controlling or intercepting an FTP server can send long PBSZ replies after AUTH TLS, or long ADAT replies in GSSAPI, Kerberos 4, and SRP builds, overflowing the static reply buf with attacker-controlled bytes.

Um sistema Kermit remoto pode sobrescrever arquivos no sistema local ou recuperar arquivos arbitrários do sistema local.

The issue is related to the improper creation of temporary files by gopher.c in the Gopher client, allowing local users to gain privileges.