Vergessen, aber nicht verschwunden

Dieses Repository enthält Proof-of-Concept-Skripte für die Schwachstellen, die im Vortrag „Forgotten but Not Gone: Unauthenticated RCEs and LPEs in Legacy Linux Services“ auf der Black Hat USA 2026 und der DEF CON 34 vorgestellt wurden.

CVE-2026-28372

Lokale Privilegieneskalation in TelnetD: Nicht privilegierte Angreifer können die Umgebungsvariablen-Funktion von TelnetD ausnutzen, um sich eine Shell mit Root-Rechten zu verschaffen. Von Haus aus und gemäß seiner RFC ermöglicht das Telnet-Protokoll seinen Clients, Umgebungsvariablen für die Shell-Sitzung zu setzen. Diese Funktion war aus Sicherheitssicht schlecht gestaltet. Der Dienst erlaubte es nicht authentifizierten Clients, Umgebungsvariablen für den telnetd-Prozess selbst und für alle seine Unterprozesse zu setzen. Einer seiner Unterprozesse ist /usr/bin/login. Das Setzen von Umgebungsvariablen durch einen entfernten Telnet-Client ermöglichte es uns, /usr/bin/login mit der Umgebungsvariablen „CREDENTIALS_DIRECTORY“ zu starten. Dies führt dazu, dass der Login-Prozess in dem durch „CREDENTIALS_DIRECTORY“ angegebenen Verzeichnis nach einer Datei namens „login.noauth“ sucht. Wenn die Datei die Zeichenkette „yes“ enthält, überspringt der Login-Prozess die Authentifizierung und stellt dem Client eine Shell bereit, die mit dem vom Client angegebenen Benutzer läuft. Dabei kann es sich um jeden Benutzer handeln, sogar um root.

CVE-2026-4408

Nicht authentifizierte Remote-Codeausführung in Samba über SAMR: Samba verlässt sich auf Shell-Befehle, die in seiner Konfigurationsdatei (smb.conf) festgelegt sind, um verschiedene von seinen Clients angeforderte Vorgänge auszuführen, z. B. eine neue Netzwerkfreigabe hinzuzufügen, einen neuen Drucker hinzuzufügen und mehr. Einige dieser Shell-Befehle erhalten Parameter, die auf der vom Client gesendeten Anfrage basieren. In den meisten Fällen werden die Parameter bereinigt und Sonderzeichen maskiert, bevor der Befehl ausgeführt wird, um Shell-Injection zu verhindern.

Die Schwachstelle liegt in der Funktion „check_password_complexity“, die eine vom Client angegebene Zeichenkette ohne Bereinigung in einen Shell-Befehl formatiert. Die Schwachstelle erfordert zwei Bedingungen:

1. „check password script“ ist so konfiguriert, dass es einen Befehl mit dem Parameter „%u“ ausführt.
2. Der Dienst ist so konfiguriert, dass er die Protokollsequenz NCACN_IP_TCP verwendet, um RPC-Anfragen über TCP anzunehmen.

Wenn der Aufruf die Funktion „check_password_complexity“ erreicht, wird das Feld „UserAccountName“ aus der Struktur „SAM_VALIDATE_PASSWORD_CHANGE_INPUT_ARG“ als Benutzername verwendet, der in den Parameter „%u“ des Befehls „check password script“ formatiert wird. Die vollständige Befehlszeile wird dann an die Funktion „smbrunsecret“ übergeben, die sie ausführt, ohne „escape_shell_string“ aufzurufen.

Um den RPC-Daemon von Samba (samba-dcerpcd) für die Verwendung von NCACN_IP_TCP zu konfigurieren, muss er als separater Systemdienst gestartet werden und nicht als Teil des Haupt-Samba-Dienstes. Außerdem muss die Option „rpc start on demand helpers“ in der Konfigurationsdatei auf „no“ gesetzt werden.

CVE-2026-4480

Nicht authentifizierte Remote-Codeausführung in Samba über SPOOLSS: Die Funktion generic_job_submit formatiert ebenfalls eine vom Client kontrollierte Zeichenkette ohne Bereinigung in einen Shell-Befehl. Die Kombination der folgenden Konfigurationen führt zu dieser Schwachstelle:

1. Der Server stellt eine Druckerfreigabe bereit.
2. Die Konfiguration „printing“ ist auf einen anderen Wert als IPRINT oder CUPS gesetzt.
3. Die Konfiguration „print command“ enthält „%J“, um den Auftragsnamen zu formatieren.

Ein nicht authentifizierter Client kann über die SPOOLSS-RPC-Schnittstelle Zugriff auf eine Druckerfreigabe anfordern. Anschließend kann über die Funktion RpcStartDocPrinter ein Druckauftrag übermittelt werden. Der in der Anfrage angegebene Dokumentname wird als Auftragsname verwendet, der in den Parameter „%J“ des Befehls formatiert wird. Der Aufruf von hRpcEndDocPrinter löst generic_job_submit aus, das den Befehl „print command“ aus der Konfiguration ausführt, nachdem der Auftragsname ohne Bereinigung formatiert wurde. Der vom Exploit gesendete Code wird als Benutzer „nobody“ ausgeführt. Wenn die Konfiguration „valid users = @users“ zum Abschnitt der Druckerfreigabe hinzugefügt wird, funktioniert die Ausnutzung weiterhin, erfordert jedoch gültige Anmeldeinformationen. Wenn eine Authentifizierung durchgeführt wurde, wird der vom Exploit gesendete Code als der authentifizierte Benutzer und nicht als „nobody“ ausgeführt.

Danksagungen

• Ron Ben Yizhak

Referenzen

• CVE-2026-24061