Schwachstellenmechanismus

Während der Sitzungsaushandlung berücksichtigt telnetd die Telnet-Option NEW_ENVIRON, die es einem Client erlaubt, Umgebungsvariablen wie USER an den Server zu übergeben. Der Daemon interpoliert diesen Wert dann direkt in die Argumentliste, die zum Aufruf von /usr/bin/login verwendet wird.

Da der Wert nicht daraufhin überprüft wird, ob er nur zulässige Benutzernamenzeichen enthält, kann ein Client eine Zeichenfolge liefern, die mit einem Bindestrich (-) beginnt. Anstatt als Benutzername behandelt zu werden, wird diese von login als Befehlszeilen-Flag geparst. Abhängig von der login-Implementierung kann dies Verhalten wie das Überspringen der Passwortauthentifizierung (z. B. über ein -f-Flag „bereits authentifiziert“) ermöglichen, was zu unbefugtem Zugriff führt.

Proof of Concept

Setzen Sie die Umgebungsvariable USER vor dem Verbinden auf einen Wert, der eine Option-Flag enthält:

Wenn das Ziel verwundbar ist, interpretiert login -f root als Anweisung, sich als root ohne Passwort zu authentifizieren, anstatt -f root als wörtlichen Benutzernamen zu behandeln.

Erkennung

Installierte Paketversion überprüfen:

Debian / Ubuntu:

RHEL / CentOS:

Abhilfe

• Aktualisieren Sie auf eine gepatchte Version von GNU InetUtils, bei der telnetd jeden mit - beginnenden USER-Wert ablehnt oder entfernt, bevor er an login übergeben wird.
• Deaktivieren Sie Telnet vollständig zugunsten von SSH, wo immer möglich – Telnet überträgt Anmeldeinformationen und Daten im Klartext, unabhängig von diesem Problem.
• Falls Telnet weiterhin verwendet werden muss, schränken Sie den Zugriff über Firewall-Regeln / VPN ein und überwachen Sie Authentifizierungsprotokolle auf anormale Verwendung von Login-Flags.