CVE-2026-28372 — GNU inetutils telnetd Privilege Escalation PoC

👤 Autor

Mohammed Idrees Banyamer
Jordanien 🇯🇴
Instagram: @banyamer_security

Sicherheitsforscher | Offensive Security | Exploit-Entwicklung

🧨 Exploit-Titel

CVE‑2026‑28372 — GNU inetutils telnetd Privilege Escalation via CREDENTIALS_DIRECTORY + login.noauth

📌 Überblick

Dieser Proof‑of‑Concept demonstriert eine Local Privilege Escalation-Schwachstelle in GNU inetutils telnetd.

telnetd übergibt client-kontrollierte Umgebungsvariablen unsachgemäß an login(1).
Durch das Setzen von:

CREDENTIALS_DIRECTORY=<Angreifer-Verzeichnis>

und dem Platzieren von:

login.noauth = yes

wird die Authentifizierung umgangen, was möglicherweise eine Root-Shell ohne Passwort gewährt.

⚠️ Schwachstellen-Details

• CVE: CVE-2026-28372
• Betroffene Software: GNU inetutils telnetd ≤ 2.7
• Bedingung: util-linux-Version mit Unterstützung für login.noauth
• Angriffstyp: Local Privilege Escalation
• CVSS: 7.4 HOCH
• CWE: CWE‑829

🎯 Betroffene Systeme

• Linux-Systeme mit:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Ubuntu / Debian-Derivate (getestet)

🔬 Exploit-Mechanismus

Grundursache

telnetd → login(1) Vertrauensproblem bei Umgebungsvariablen.

Angriffskette

1. Angreifer erstellt kontrolliertes Verzeichnis
2. Platziert login.noauth-Datei mit Wert yes
3. Injiziert Umgebungsvariablen über die Telnet NEW‑ENVIRON-Option
4. login liest das vom Angreifer kontrollierte Anmeldeinformations-Verzeichnis
5. Authentifizierungsumgehung → Root-Shell

🧭 PoC-Ablaufdiagramm

flowchart TD

A[Unprivilegierter Benutzer] --> B[Fake-Anmeldeinformations-Verzeichnis erstellen]
B --> C[login.noauth = yes platzieren]
C --> D[Mit telnetd verbinden]
D --> E[ENV-Variablen injizieren]
E --> F[CREDENTIALS_DIRECTORY setzen]
F --> G[telnetd ruft login auf]
G --> H[login liest login.noauth]
H --> I[Authentifizierungsumgehung]
I --> J[Root-Shell erhalten]

▶️ Verwendung

Anforderungen

• Python 3
• Laufender telnetd-Dienst
• Lokaler Zugriff

PoC ausführen

python3 cve-2026-28372.py

Optionale Parameter:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 Automatisch durchgeführte Exploit-Schritte

✔ Vom Angreifer kontrolliertes Anmeldeinformations-Verzeichnis erstellen ✔ login.noauth-Umgehungsdatei generieren ✔ Mit telnetd verbinden ✔ Bösartige Umgebungsvariablen injizieren ✔ Authentifizierungsumgehung versuchen

🛡️ Gegenmaßnahmen

Sofortige Lösung

• Patches nach inetutils 2.7 anwenden
• Umgebungsvariablen bereinigen
• Gefährliche Variablen entfernen:

unsetenv("CREDENTIALS_DIRECTORY")

Empfohlen

• Telnet-Dienst deaktivieren
• Stattdessen SSH verwenden
• Lokale Dienste einschränken
• Umgebungsvariablen-Injektion überwachen

📚 Technische Hinweise

• Erfordert lokalen Dateischreibzugriff
• telnetd muss /bin/login oder /usr/bin/login aufrufen
• Die Ausnutzung in der Praxis hängt von der Dienst-Exposition ab

⚖️ Haftungsausschluss

Dieser PoC wird bereitgestellt für:

• Sicherheitsforschung
• Defensive Zwecke
• Ausschließlich autorisierte Testumgebungen

Unbefugte Nutzung ist untersagt.

⭐ Danksagung

PoC erforscht von:

Mohammed Idrees Banyamer banyamer_security