CVE-2026-28372 — PoC de Escalada de Privilegios en GNU inetutils telnetd

👤 Autor

Mohammed Idrees Banyamer
Jordania 🇯🇴
Instagram: @banyamer_security

Investigador de Seguridad | Seguridad Ofensiva | Desarrollo de Exploits

🧨 Título del Exploit

CVE‑2026‑28372 — Escalada de Privilegios en GNU inetutils telnetd mediante CREDENTIALS_DIRECTORY + login.noauth

📌 Resumen

Esta Prueba de Concepto demuestra una vulnerabilidad de Escalada Local de Privilegios en GNU inetutils telnetd.

telnetd pasa incorrectamente variables de entorno controladas por el cliente a login(1).
Al establecer:

CREDENTIALS_DIRECTORY=<directorio del atacante>

y colocar:

login.noauth = yes

la autenticación se omite, lo que potencialmente otorga un shell root sin contraseña.

⚠️ Detalles de la Vulnerabilidad

• CVE: CVE-2026-28372
• Software Afectado: GNU inetutils telnetd ≤ 2.7
• Condición: versión de util-linux que soporta login.noauth
• Tipo de Ataque: Escalada Local de Privilegios
• CVSS: 7.4 ALTA
• CWE: CWE‑829

🎯 Sistemas Afectados

• Sistemas Linux que ejecutan:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Derivados de Ubuntu / Debian (probados)

🔬 Mecanismo del Exploit

Causa Raíz

Problema de confianza en variables de entorno en telnetd → login(1).

Cadena de Ataque

1. El atacante crea un directorio controlado
2. Coloca el archivo login.noauth con el valor yes
3. Inyecta variables de entorno mediante la opción Telnet NEW‑ENVIRON
4. login lee el directorio de credenciales controlado por el atacante
5. Omisión de autenticación → shell root

🧭 Diagrama de Flujo del PoC

flowchart TD

A[Usuario sin privilegios] --> B[Crear directorio de credenciales falso]
B --> C[Colocar login.noauth = yes]
C --> D[Conectar a telnetd]
D --> E[Inyectar variables ENV]
E --> F[Establecer CREDENTIALS_DIRECTORY]
F --> G[telnetd llama a login]
G --> H[login lee login.noauth]
H --> I[Omisión de autenticación]
I --> J[Se obtiene shell root]

▶️ Uso

Requisitos

• Python 3
• Servicio telnetd en ejecución
• Acceso local

Ejecutar el PoC

python3 cve-2026-28372.py

Parámetros opcionales:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 Pasos del Exploit Realizados Automáticamente

✔ Crear directorio de credenciales controlado por el atacante ✔ Generar archivo de omisión login.noauth ✔ Conectar a telnetd ✔ Inyectar variables de entorno maliciosas ✔ Intentar omisión de autenticación

🛡️ Mitigación

Solución Inmediata

• Aplicar parches posteriores a inetutils 2.7
• Sanear las variables de entorno
• Desactivar variables peligrosas:

unsetenv("CREDENTIALS_DIRECTORY")

Recomendado

• Deshabilitar el servicio telnet
• Usar SSH en su lugar
• Restringir servicios locales
• Monitorear la inyección de variables de entorno

📚 Notas Técnicas

• Requiere acceso de escritura a archivos locales
• telnetd debe ejecutar /bin/login o /usr/bin/login
• La explotación en entornos reales depende de la exposición del servicio

⚖️ Descargo de Responsabilidad

Este PoC se proporciona para:

• Investigación de seguridad
• Fines defensivos
• Entornos de pruebas autorizados únicamente

El uso no autorizado está prohibido.

⭐ Créditos

PoC investigado por:

Mohammed Idrees Banyamer banyamer_security