CVE-2026-24061

CVE-2026-24061 - Bypass de autenticación por inyección de argumentos en telnetd de GNU InetUtils

Las versiones 1.9.3 a 2.7 de GNU InetUtils son vulnerables a un bypass de autenticación remota en el servidor telnetd. El demonio telnetd no sanea adecuadamente la variable de entorno USER antes de pasarla como argumento de línea de comandos al programa login(1). Cuando un cliente telnet envía una variable de entorno USER que contiene parámetros de línea de comandos (como -f root), telnetd pasa directamente este valor sin sanear al programa login. La utilidad login interpreta el parámetro -f como una instrucción para omitir la autenticación, lo que permite a un atacante obtener acceso root no autorizado sin proporcionar ninguna credencial.

Características

• Implementación completa del protocolo Telnet

  • Maneja las negociaciones DO, DONT, WILL y WONT.
  • Admite el análisis de subnegociaciones y los mecanismos de keepalive.

• Inyección automática de payload

  • Construye y envía el payload de la opción ENVIRON manipulado con la inyección USER=-f root.

• Shell interactivo

  • Proporciona una sesión interactiva bidireccional para la ejecución de comandos.

• Gestión de conexiones

  • Implementa keepalive de socket, gestión de tiempos de espera y limpieza de sesión ordenada.

• Depuración verbosa

  • Salida de depuración opcional para análisis de protocolo y resolución de problemas.

Uso

python3 exploit.py <target> -p <port> [options]

Argumentos obligatorios

Argumentos opcionales

Ejemplos

Explotar el puerto Telnet predeterminado

python3 exploit.py 192.168.1.100

Explotar un puerto personalizado con salida verbosa

python3 exploit.py 192.168.1.100 -p 2323 -v

Usar un intervalo de keepalive extendido para conexiones inestables

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

Flujo de trabajo del exploit

1. Establecimiento de la conexión

   • Inicia una conexión TCP con las opciones de socket y los ajustes de keepalive adecuados.

2. Negociación de protocolo

   • Maneja la negociación de opciones Telnet (SGA, ECHO y ENVIRON).

3. Entrega del payload

   • Envía WILL ENVIRON seguido del payload de subnegociación manipulado.

4. Bypass de autenticación

   • El argumento -f root se inyecta en login(1) para omitir las comprobaciones de credenciales.

5. Sesión interactiva

   • Proporciona acceso completo al shell bidireccional con ejecución de comandos en tiempo real.

Detalles técnicos

El exploit aprovecha la opción Telnet ENVIRON (RFC 1572) para inyectar argumentos de línea de comandos en la variable de entorno USER.

Cuando telnetd pasa este valor sin sanear a login -f root, el programa login interpreta -f como un parámetro que fuerza el bypass de autenticación, otorgando acceso root sin verificación de contraseña.

Manejo de protocolo

El script del exploit implementa:

• Escape de bytes IAC (Interpret As Command)
• Análisis y construcción de subnegociaciones
• Respuestas de negociación de opciones (WILL, WONT, DO, DONT)
• Comandos NOP de keepalive para mantener la estabilidad de la sesión

Salida de ejemplo

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

Requisitos

• Python 3.7 o posterior
• Sin dependencias externas
• Utiliza únicamente la biblioteca estándar de Python

Detección y mitigación

Los administradores de sistemas pueden detectar intentos de explotación supervisando:

• Conexiones Telnet que realizan negociación de la opción ENVIRON.
• Variables de entorno USER que contengan -f u otros parámetros de línea de comandos.
• Eventos de bypass de autenticación en los registros del sistema.

Mitigación

Actualice a la versión 2.8 de GNU InetUtils o aplique el parche de seguridad oficial que sanea las variables de entorno antes de pasarlas a login(1).

Descargo de responsabilidad

Esta prueba de concepto está destinada únicamente a la investigación de seguridad, la validación de vulnerabilidades y los entornos de pruebas autorizados. Úsela solo contra sistemas para los que tenga permiso explícito para realizar evaluaciones de seguridad.