CVE-2026-28372 — استغلال تصعيد الامتيازات في GNU inetutils telnetd

👤 المؤلف

محمد إدريس بن يامر
الأردن 🇯🇴
Instagram: @banyamer_security

باحث أمني | أمن هجومي | تطوير استغلالات

🧨 عنوان الاستغلال

CVE‑2026‑28372 — تصعيد الامتيازات في GNU inetutils telnetd عبر CREDENTIALS_DIRECTORY + login.noauth

📌 نظرة عامة

يُظهر هذا الإثبات المفاهيمي (PoC) ثغرة تصعيد امتيازات محلي في GNU inetutils telnetd.

يقوم telnetd بتمرير متغيرات البيئة التي يتحكم بها العميل بشكل غير صحيح إلى login(1).
من خلال تعيين:

CREDENTIALS_DIRECTORY=<دليل المهاجم>

ووضع:

login.noauth = yes

يتم تجاوز المصادقة، مما قد يمنح جذر (root) بدون كلمة مرور.

⚠️ تفاصيل الثغرة

• CVE: CVE-2026-28372
• البرنامج المتأثر: GNU inetutils telnetd ≤ 2.7
• الشرط: إصدار util-linux يدعم login.noauth
• نوع الهجوم: تصعيد امتيازات محلي
• CVSS: 7.4 عالية
• CWE: CWE‑829

🎯 الأنظمة المتأثرة

• أنظمة لينكس التي تعمل بـ:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• مشتقات Ubuntu / Debian (تم اختبارها)

🔬 آلية الاستغلال

السبب الجذري

مشكلة الثقة في متغيرات البيئة بين telnetd → login(1).

سلسلة الهجوم

1. يقوم المهاجم بإنشاء دليل يتحكم به
2. يضع ملف login.noauth بقيمة yes
3. يحقن متغيرات البيئة عبر خيار Telnet NEW‑ENVIRON
4. يقرأ login دليل بيانات الاعتماد الذي يتحكم به المهاجم
5. تجاوز المصادقة → جذر (root)

🧭 مخطط تدفق الإثبات المفاهيمي

flowchart TD

A[مستخدم غير مميز] --> B[إنشاء دليل بيانات اعتماد مزيف]
B --> C[وضع login.noauth = yes]
C --> D[الاتصال بـ telnetd]
D --> E[حقن متغيرات البيئة]
E --> F[تعيين CREDENTIALS_DIRECTORY]
F --> G[telnetd يستدعي login]
G --> H[login يقرأ login.noauth]
H --> I[تجاوز المصادقة]
I --> J[الحصول على جذر]

▶️ الاستخدام

المتطلبات

• Python 3
• خدمة telnetd قيد التشغيل
• وصول محلي

تشغيل الإثبات المفاهيمي

python3 cve-2026-28372.py

معاملات اختيارية:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 خطوات الاستغلال المنفذة تلقائيًا

✔ إنشاء دليل بيانات اعتماد يتحكم به المهاجم ✔ توليد ملف تجاوز login.noauth ✔ الاتصال بـ telnetd ✔ حقن متغيرات بيئة خبيثة ✔ محاولة تجاوز المصادقة

🛡️ التخفيف

الإصلاح الفوري

• تطبيق التصحيحات بعد inetutils 2.7
• تنقية متغيرات البيئة
• إلغاء تعيين المتغيرات الخطيرة:

unsetenv("CREDENTIALS_DIRECTORY")

الموصى به

• تعطيل خدمة telnet
• استخدام SSH بدلاً منه
• تقييد الخدمات المحلية
• مراقبة حقن متغيرات البيئة

📚 ملاحظات تقنية

• يتطلب صلاحية كتابة ملفات محلية
• يجب أن يقوم telnetd بتشغيل /bin/login أو /usr/bin/login
• الاستغلال في البيئات الحقيقية يعتمد على مدى تعرض الخدمة

⚖️ إخلاء مسؤولية

يُقدَّم هذا الإثبات المفاهيمي من أجل:

• البحث الأمني
• الأغراض الدفاعية
• بيئات الاختبار المصرح بها فقط

الاستخدام غير المصرح به محظور.

⭐ الاعتمادات

اكتشف وبحث:

محمد إدريس بن يامر banyamer_security