CVE-2026-24061

Auf Systemen, auf denen login das Flag -f akzeptiert (erzwungener Login ohne Passwortprüfung), führt dies dazu, dass dem entfernten Angreifer eine nicht authentifizierte Root-Sitzung gewährt wird.

Diese Schwachstellenklasse hat historische Präzedenzfälle: CVE-2001-0797 in SysV telnetd und der bekannte Linux-telnetd--f-Bypass von 1994 nutzten denselben grundlegenden Fehler aus: die fehlende Bereinigung von umgebungsbasierten Argumenten, die an privilegierte Binaries übergeben werden.

Keine Anmeldeinformationen erforderlich. Kein vorheriger Zugriff nötig. Eine einzige Netzwerkpaketsequenz führt zu Root.

Technische Analyse

Grundursache

GNU InetUtils telnetd verarbeitet die NEW-ENVIRON-Sub-Negotiation (Optionscode 0x27, gemäß RFC 1572), um vom Client gelieferte Umgebungsvariablen zu sammeln. Diese Variablen werden zu einem Argumentvektor zusammengesetzt und beim Starten von login(1) an execve(2) übergeben.

Die Schwachstelle wird wie folgt ausgelöst:

1. Der Server sendet IAC DO NEW-ENVIRON und fordert damit Umgebungsvariablen vom Client an.
2. Der bösartige Client antwortet mit IAC WILL NEW-ENVIRON.
3. Der Server folgt mit IAC SB NEW-ENVIRON SEND IAC SE.
4. Der Client sendet die injizierte Nutzlast:

5. telnetd konstruiert den login-Aufruf als login -f root.
6. login(1) interpretiert -f als „Login erzwingen, Authentifizierung überspringen" und meldet den angegebenen Benutzer (root) ohne Passwortabfrage an.

Protokollebene-Aufschlüsselung

Warum -f root funktioniert

Das login(1)-Binary auf vielen Linux-Systemen akzeptiert das Flag -f <user> für „vorauthentifizierte" Logins, das historisch von Terminal-Multiplexern und rlogin verwendet wurde. Wenn telnetd seinen exec-Aufruf aufbaut und es versäumt, führende Bindestriche zu entfernen oder optionsähnliche Zeichenfolgen in Umgebungsvariablenwerten zu validieren, übergibt es unbeabsichtigt vom Angreifer kontrollierte Flags direkt an login.

Der effektive Aufruf wird zu:

Angriffsszenario

Voraussetzungen:

• Zielsystem mit GNU InetUtils telnetd (TCP/23 offen)
• Nicht gepatchte Version von inetutils
• login(1)-Binary unterstützt das Flag -f (Standard auf den meisten Linux-Distributionen)
• Keine Firewall, die TCP/23 blockiert

Betroffene Versionen

Prüfen Sie, ob Ihre Distribution eine gepatchte Version ausliefert. Viele moderne Systeme haben Telnet standardmäßig deaktiviert; die Gefährdung erfordert einen explizit laufenden telnetd.

CVSS-Score

MITRE ATT&CK-Zuordnung

Installation

Anforderungen: Python 3 (nur Standardbibliothek, null externe Abhängigkeiten).

Kein pip install erforderlich. Beide Skripte verwenden nur die Python-Standardbibliothek.

Projektstruktur

• poc_cve_2026_24061.py: Minimal, lesbar, lehrreich. Ein Ziel, eine Funktion, null Abstraktion. Lesen Sie dies, um genau zu verstehen, wie die Schwachstelle auf Protokollebene funktioniert.
• cve_2026_24061.py: Industrialisierter Exploit für Penetrationstest-Einsätze. Multithreaded, unterstützt CIDR-Bereiche, Dateieingabe, CSV/JSON-Export, Quiet-Modus, benutzerdefinierte Benutzer.

Verwendung

Einfacher PoC (poc_cve_2026_24061.py)

Nutzen Sie einen einzelnen Host aus. Der Code ist bewusst minimal gehalten, sodass Sie ihn von oben nach unten lesen und die gesamte Angriffskette verstehen können.

Industrialisierter Exploit (cve_2026_24061.py)

Einzelner Host

CIDR-Bereich (Massen-Scan)

Dateieingabe

JSON-Export

Benutzerdefinierter Zielbenutzer

Quiet-Modus (pipe-freundlich)

Alle Optionen

Ausgabestatus

CSV-Ausgabespalten: ip:port, status, message

PoC-Verhalten

Das Skript implementiert die vollständige Telnet-NEW-ENVIRON-Negotiation-Zustandsmaschine nativ in Python, ohne auf externe Telnet-Bibliotheken zurückzugreifen:

1. Öffnet einen rohen TCP-Socket zum Ziel auf Port 23 (konfigurierbar).
2. Liest eingehende IAC-Befehlssequenzen und antwortet auf DO NEW-ENVIRON mit WILL NEW-ENVIRON.
3. Beim Empfang der Server-SB NEW-ENVIRON SEND-Sub-Negotiation überträgt es die injizierte Nutzlast (USER = "-f root").
4. Überwacht den Antwortpuffer auf Indikatoren für einen erfolgreichen Root-Login: Vorhandensein von uid=0(root) oder einer Shell-Eingabeaufforderung (#), in Abwesenheit von Login incorrect oder Password:.
5. Wenn die Nutzlast injiziert wurde, sendet es id\n und prüft auf uid=0(root) in der Antwort als sekundäre Bestätigung.

Ergebnisse werden mit farbcodierten Statusbezeichnungen auf stdout protokolliert. Optionaler CSV-Export erfasst alle Befunde für die Nachbearbeitung.

Behebung und Gegenmaßnahmen

Sofortmaßnahmen

1. Telnet vollständig deaktivieren. Telnet überträgt alle Daten im Klartext. Ersetzen Sie es durch SSH.

   root@kitploit:~

   sudo systemctl disable telnet.socket --now
   sudo systemctl disable inetd --now
   

2. Hersteller-Patch anwenden. Installieren Sie die gepatchte Version von inetutils von Ihrer Distribution, sobald sie verfügbar ist.

3. TCP/23 an der Perimeter-Firewall blockieren. Wenden Sie Firewall-Regeln an, um eingehende Telnet-Verbindungen zu verweigern.

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   # nftables
   sudo nft add rule inet filter input tcp dport 23 drop
   

Verteidigung in der Tiefe

Erkennung (SIEM/IDS)

Snort/Suricata-Regelgerüst zur Erkennung des Exploits während der Übertragung:

Threat Intelligence

Dieses Repository enthält vorgefertigte Threat-Intelligence-Artefakte, die direkt in Ihren SOC/CTI-Stack importiert werden können. Sie werden automatisch von CI aus der tatsächlichen Exploit-Nutzlast generiert - wenn sich die Nutzlast ändert, aktualisieren sich die Artefakte.

MISP

Importieren Sie indicators/misp_event.json direkt in jede MISP-Instanz:

Das Ereignis enthält: CVE-ID, CVSS-Vektor, Snort-Signatur, Nutzlast-Hex, MITRE ATT&CK-Tags (T1190, T1548, T1059), CPE und externe Referenzen.

STIX 2.1

Importieren Sie indicators/stix_bundle.json in OpenCTI, TAXII-Server oder jeden STIX-2.1-Konsumenten.

Das Bundle enthält 11 Objekte: Vulnerability, Indicator (Netzwerkmuster), 3 Attack Patterns (MITRE), Course of Action (Behebung), Identity und Relationships, die diese verbinden.

IDS-Signaturen

Vorgefertigte Regeln in signatures/:

• snort.rules - 3 Snort/Suricata-Regeln (Exploit-Versuch, generische -f-Injektion, Root-Shell nach der Ausnutzung)
• sigma.yml - Sigma-Regel für SIEM-Korrelation

Neu generieren

Wenn Sie die Exploit-Nutzlast ändern, generieren Sie alle Artefakte neu:

Referenzen: MISP - OpenCTI - STIX 2.1 - Sigma

Referenzen

• GNU InetUtils Offizielles Repository
• RFC 1572 - Telnet-Umgebungsoption (NEW-ENVIRON)
• RFC 854 - Telnet-Protokollspezifikation
• CVE-2001-0797 - Historischer SysV telnetd -f-Bypass (Präzedenzfall)
• MITRE ATT&CK - T1190: Exploit Public-Facing Application
• MITRE ATT&CK - T1548: Abuse Elevation Control Mechanism
• MISP-Projekt
• Linux login(1) Manpage

Rechtlicher Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Sicherheitsaudits, akademische Forschung und Bildungszwecke bereitgestellt. Die Verwendung gegen Systeme ohne ausdrückliche schriftliche Genehmigung des Systemeigentümers ist nach geltenden Gesetzen zu Computerbetrug und -missbrauch illegal (einschließlich, aber nicht beschränkt auf CFAA, Computer Misuse Act und gleichwertige Gesetzgebung). Der Autor übernimmt keine Haftung für unbefugte oder böswillige Nutzung.