CVE-2026-24061

En sistemas donde login acepta la bandera -f (forzar inicio de sesión sin verificación de contraseña), esto resulta en una sesión root no autenticada otorgada al atacante remoto.

Esta clase de vulnerabilidad tiene precedente histórico: CVE-2001-0797 en SysV telnetd y el conocido bypass -f de Linux telnetd de 1994 explotaron el mismo fallo fundamental de no sanear argumentos provenientes de variables de entorno pasados a binarios privilegiados.

No se requieren credenciales. No se necesita acceso previo. Una sola secuencia de paquetes de red logra root.

Análisis Técnico

Causa Raíz

GNU InetUtils telnetd procesa la sub-negociación NEW-ENVIRON (código de opción 0x27, según RFC 1572) para recopilar variables de entorno proporcionadas por el cliente. Estas variables se ensamblan en un vector de argumentos y se pasan a execve(2) al invocar login(1).

La vulnerabilidad se desencadena de la siguiente manera:

1. El servidor envía IAC DO NEW-ENVIRON, solicitando variables de entorno al cliente.
2. El cliente malicioso responde con IAC WILL NEW-ENVIRON.
3. El servidor continúa con IAC SB NEW-ENVIRON SEND IAC SE.
4. El cliente envía el payload inyectado:

5. telnetd construye la invocación de login como login -f root.
6. login(1) interpreta -f como "forzar inicio de sesión, omitir autenticación" e inicia sesión con el usuario especificado (root) sin requerir contraseña.

Desglose a Nivel de Protocolo

Por Qué Funciona -f root

El binario login(1) en muchos sistemas Linux acepta la bandera -f <usuario> para inicios de sesión "pre-autenticados", usada históricamente por multiplexores de terminal y rlogin. Cuando telnetd construye su llamada exec y no elimina guiones iniciales ni valida cadenas similares a opciones en los valores de variables de entorno, pasa inadvertidamente banderas controladas por el atacante directamente a login.

La llamada efectiva se convierte en:

Escenario de Ataque

Requisitos previos:

• Sistema objetivo ejecutando GNU InetUtils telnetd (TCP/23 abierto)
• Versión sin parchear de inetutils
• El binario login(1) soporta la bandera -f (estándar en la mayoría de distribuciones Linux)
• Sin firewall que bloquee TCP/23

Versiones Afectadas

Verifique si su distribución incluye una versión parcheada. Muchos sistemas modernos tienen Telnet deshabilitado por defecto; la exposición requiere un telnetd ejecutándose explícitamente.

Puntuación CVSS

Mapeo MITRE ATT&CK

Instalación

Requisitos: Python 3 (solo biblioteca estándar, cero dependencias externas).

No se necesita pip install. Ambos scripts usan únicamente la biblioteca estándar de Python.

Estructura del Proyecto

• poc_cve_2026_24061.py: Mínimo, legible, educativo. Un objetivo, una función, cero abstracción. Léalo para entender exactamente cómo funciona la vulnerabilidad a nivel de protocolo.
• cve_2026_24061.py: Exploit industrializado para compromisos de pentesting. Multihilo, soporta rangos CIDR, entrada por archivo, exportación CSV/JSON, modo silencioso, usuarios personalizados.

Uso

PoC Simple (poc_cve_2026_24061.py)

Explota un solo host. El código es deliberadamente mínimo para que pueda leerlo de principio a fin y comprender toda la cadena de ataque.

Exploit Industrializado (cve_2026_24061.py)

Host Único

Rango CIDR (Escaneo Masivo)

Entrada por Archivo

Exportación JSON

Usuario Objetivo Personalizado

Modo Silencioso (compatible con pipes)

Opciones Completas

Estados de Salida

Columnas de salida CSV: ip:port, status, message

Comportamiento del PoC

El script implementa la máquina de estados completa de la negociación Telnet NEW-ENVIRON nativamente en Python sin depender de bibliotecas Telnet externas:

1. Abre un socket TCP crudo hacia el objetivo en el puerto 23 (configurable).
2. Lee secuencias de comandos IAC entrantes y responde a DO NEW-ENVIRON con WILL NEW-ENVIRON.
3. Al recibir la sub-negociación SB NEW-ENVIRON SEND del servidor, transmite el payload inyectado (USER = "-f root").
4. Monitorea el buffer de respuesta en busca de indicadores de inicio de sesión root exitoso: presencia de uid=0(root) o un prompt de shell (#), en ausencia de Login incorrect o Password:.
5. Si el payload fue inyectado, envía id\n y verifica uid=0(root) en la respuesta como confirmación secundaria.

Los resultados se registran en stdout con etiquetas de estado codificadas por color. La exportación CSV opcional registra todos los hallazgos para post-procesamiento.

Remediación y Mitigación

Acciones Inmediatas

1. Deshabilitar Telnet por completo. Telnet transmite todos los datos en texto claro. Reemplácelo con SSH.

   root@kitploit:~

   sudo systemctl disable telnet.socket --now
   sudo systemctl disable inetd --now
   

2. Aplicar el parche del proveedor. Instale la versión parcheada de inetutils de su distribución cuando esté disponible.

3. Bloquear TCP/23 en el perímetro. Aplique reglas de firewall para denegar conexiones Telnet entrantes.

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   # nftables
   sudo nft add rule inet filter input tcp dport 23 drop
   

Defensa en Profundidad

Detección (SIEM/IDS)

Esqueleto de regla Snort/Suricata para detectar el exploit en tránsito:

Inteligencia de Amenazas

Este repositorio incluye artefactos de inteligencia de amenazas pre-generados, listos para importar en su stack SOC/CTI. Son generados automáticamente por CI desde el payload real del exploit - si el payload cambia, los artefactos se actualizan.

MISP

Importe indicators/misp_event.json directamente en cualquier instancia MISP:

El evento contiene: ID CVE, vector CVSS, firma Snort, payload en hex, etiquetas MITRE ATT&CK (T1190, T1548, T1059), CPE y referencias externas.

STIX 2.1

Importe indicators/stix_bundle.json en OpenCTI, servidores TAXII o cualquier consumidor STIX 2.1.

El bundle contiene 11 objetos: Vulnerability, Indicator (patrón de red), 3 Attack Patterns (MITRE), Course of Action (remediación), Identity y Relationships que los vinculan.

Firmas IDS

Reglas pre-construidas en signatures/:

• snort.rules - 3 reglas Snort/Suricata (intento de exploit, inyección genérica -f, shell root post-explotación)
• sigma.yml - Regla Sigma para correlación SIEM

Regenerar

Si modifica el payload del exploit, regenere todos los artefactos:

Referencias: MISP - OpenCTI - STIX 2.1 - Sigma

Referencias

• Repositorio Oficial GNU InetUtils
• RFC 1572 - Opción de Entorno Telnet (NEW-ENVIRON)
• RFC 854 - Especificación del Protocolo Telnet
• CVE-2001-0797 - Bypass histórico SysV telnetd -f (precedente)
• MITRE ATT&CK - T1190: Explotar Aplicación Expuesta al Público
• MITRE ATT&CK - T1548: Abuso de Mecanismo de Control de Elevación
• Proyecto MISP
• Página de manual de Linux login(1)

Aviso Legal

Esta herramienta se proporciona únicamente para auditorías de seguridad autorizadas, investigación académica y fines educativos. El uso contra sistemas sin permiso escrito explícito del propietario del sistema es ilegal según las leyes aplicables de fraude y abuso informático (incluidas, entre otras, la CFAA, la Computer Misuse Act y legislación equivalente). El autor no acepta responsabilidad alguna por uso no autorizado o malicioso.