Das Problem wird durch das Zusammenspiel zwischen der automatischen Login-Funktion von Telnet und der Verarbeitung der USER-Umgebungsvariable ausgelöst.

Der vom Angreifer kontrollierte Wert:

wird nicht strikt als Benutzername behandelt. Stattdessen kann er zu einem Argument für login werden, was zu einem Verhalten führt, das äquivalent ist zu:

Die Option -f weist login an, den normalen Authentifizierungsprozess für den angegebenen Benutzer zu umgehen.

Proof of Concept PoC

Das Repository enthält einen Python-3-Proof-of-Concept, der die Telnet-Verbindung herstellt, die erforderliche Protokollverhandlung durchführt, den bösartigen USER-Wert injiziert und die resultierende Sitzung verifiziert.

Repository klonen (empfohlen)

Nur poc.py herunterladen

Verwendung

Den PoC ausführbar machen:

Ausführen, indem die Zieladresse und der Telnet-Port angegeben werden:

Beispiel:

Erfolgreiche Ausnutzung

Ein anfälliges Ziel erzeugt eine Ausgabe ähnlich wie:

CVE-2026-24061 - GNU Inetutils telnetd Auth-Bypass

Der PoC stellt anschließend eine interaktive Sitzung bereit.

Die Privilegienerweiterung kann mit folgendem Befehl bestätigt werden:

Erwartetes Ergebnis:

Dies bestätigt, dass der Telnet-Authentifizierungsmechanismus umgangen wurde und die resultierende Sitzung Root-Rechte besitzt.

PoC-Arbeitsablauf

Der Exploit führt die folgenden Operationen aus:

Stellt eine Verbindung zum Ziel-Telnet-Dienst her. Führt die erforderliche Telnet-Protokollverhandlung durch. Aktiviert das für die Ausnutzung erforderliche automatische Login-Verhalten. Liefert den bösartigen Wert USER=-f root. Ermöglicht der anfälligen telnetd-Implementierung, den manipulierten Wert an login weiterzugeben. Empfängt die resultierende Sitzung. Stellt dem Bediener ein interaktives Terminal bereit.

Der PoC verlässt sich für den anfälligen Authentifizierungspfad nicht auf Anmeldeinformationen.

Betroffene Konfigurationen

Die Ausnutzung hängt von der Zielkonfiguration und dem Zusammenspiel zwischen telnetd und der Login-Implementierung des Systems ab.

Die primären Bedingungen sind:

GNU Inetutils telnetd innerhalb des betroffenen Versionsbereichs.
Telnet-Dienst für den Angreifer erreichbar.
Automatische Login-Funktion aktiviert oder verfügbar.
Anfällige Verarbeitung der USER-Umgebungsvariable.
Eine kompatible Login-Implementierung, die in der Lage ist, die injizierte Option zu interpretieren.

Folglich sollte das Vorhandensein einer betroffenen Inetutils-Version allein nicht als Beweis für die Ausnutzbarkeit behandelt werden. Auch Distributions-Patches und Dienstkonfigurationen müssen berücksichtigt werden.

Auswirkungen

CVE-2026-24061 kann ein anfälliges System vollständig kompromittieren.

Abhängig von den Rechten, unter denen telnetd arbeitet, kann die Ausnutzung Folgendes ermöglichen:

Authentifizierungs-Bypass
Unbefugter Zugriff auf lokale Konten
Remote-Befehlsausführung
Privilegienerweiterung
Root-Zugriff
Vollständige Systemkompromittierung

Das Szenario mit dem höchsten Risiko ist ein remote erreichbarer Telnet-Dienst, bei dem die Ausnutzung zu einer Root-Sitzung führt.

Erkennung

Mögliche Indikatoren für eine Ausnutzung sind:

Unerwartete Verbindungen zu TCP/23.
Telnet-Authentifizierungsversuche mit ungewöhnlichen Benutzernamen.
Verdächtige USER-Werte, die mit Befehlszeilenoptionen beginnen.
Unerwartete login-Prozessargumente.
Root-Sitzungen, die von telnetd stammen.
Unerwartete Prozesse, die vom Telnet-Dienst erzeugt werden.

Das Netzwerk-Monitoring sollte auch Systeme identifizieren, die Telnet-Dienste unnötigerweise exponieren.

Abhilfe

Die empfohlene Maßnahme ist, Telnet zu entfernen und SSH für die Remote-Verwaltung zu verwenden.

Wenn Telnet nicht sofort entfernt werden kann:

Upgrade auf eine vom Hersteller bereitgestellte Version mit dem Sicherheitsfix durchführen.
Das entsprechende Betriebssystem-Sicherheitsupdate anwenden.
TCP/23 auf vertrauenswürdige Verwaltungsnetzwerke beschränken.
Direkte Exposition von Telnet gegenüber nicht vertrauenswürdigen Netzwerken verhindern.
Telnet-Authentifizierung und Prozessaktivität überwachen.

Da Linux-Distributionen Sicherheitsfixes zurückportieren können, ohne die Upstream-Versionsnummer zu ändern, sollten Administratoren den Sicherheitsstatus ihres Distributionspakets überprüfen, anstatt sich ausschließlich auf die angezeigte Version zu verlassen.

Validierung

Die Schwachstelle wurde erfolgreich gegen einen anfälligen GNU-Inetutils-Telnet-Dienst reproduziert, der auf Ubuntu 22.04.5 LTS lief.

Der PoC stellte eine Verbindung zu TCP/23 her, injizierte:

und erlangte eine Root-Sitzung.

Die Privilegienprüfung ergab:

Dies liefert eine direkte Bestätigung der sicherheitsrelevanten Auswirkungen.

Haftungsausschluss

Dieser Proof of Concept wird für Sicherheitsforschung, Schwachstellenvalidierung, autorisierte Penetrationstests und Bildungszwecke bereitgestellt.

Testen Sie nur Systeme, für die Sie eine ausdrückliche Autorisierung besitzen.

Gabriel D. Ishengoma
Offensive Security · Cybersecurity-Forschung · Digitale Forensik