CVE-2026-24061

Sur les systèmes où login accepte le drapeau -f (connexion forcée sans vérification du mot de passe), cela aboutit à l'octroi d'une session root non authentifiée à l'attaquant distant.

Cette classe de vulnérabilité a un précédent historique : CVE-2001-0797 dans SysV telnetd et le contournement bien connu -f de telnetd Linux de 1994 exploitaient la même défaillance fondamentale de nettoyage des arguments issus de l'environnement transmis aux binaires privilégiés.

Aucun identifiant requis. Aucun accès préalable nécessaire. Une seule séquence de paquets réseau suffit pour obtenir root.

Analyse technique

Cause racine

GNU InetUtils telnetd traite la sous-négociation NEW-ENVIRON (code d'option 0x27, selon la RFC 1572) pour collecter les variables d'environnement fournies par le client. Ces variables sont assemblées dans un vecteur d'arguments et transmises à execve(2) lors du lancement de login(1).

La vulnérabilité est déclenchée comme suit :

1. Le serveur envoie IAC DO NEW-ENVIRON, sollicitant les variables d'environnement du client.
2. Le client malveillant répond avec IAC WILL NEW-ENVIRON.
3. Le serveur enchaîne avec IAC SB NEW-ENVIRON SEND IAC SE.
4. Le client envoie la charge utile injectée :

5. telnetd construit l'invocation de login comme login -f root.
6. login(1) interprète -f comme « connexion forcée, ignorer l'authentification » et connecte l'utilisateur spécifié (root) sans exiger de mot de passe.

Analyse au niveau du protocole

Pourquoi -f root fonctionne

Le binaire login(1) sur de nombreux systèmes Linux accepte le drapeau -f <utilisateur> pour les connexions « pré-authentifiées », historiquement utilisé par les multiplexeurs de terminaux et rlogin. Lorsque telnetd construit son appel exec et ne parvient pas à supprimer les tirets initiaux ou à valider les chaînes de type option dans les valeurs des variables d'environnement, il transmet par inadvertance des drapeaux contrôlés par l'attaquant directement à login.

L'appel effectif devient :

Scénario d'attaque

Conditions préalables :

• Système cible exécutant GNU InetUtils telnetd (TCP/23 ouvert)
• Version non corrigée d'inetutils
• Le binaire login(1) prend en charge le drapeau -f (standard sur la plupart des distributions Linux)
• Aucun pare-feu ne bloque TCP/23

Versions concernées

Vérifiez si votre distribution fournit une version corrigée. De nombreux systèmes modernes ont Telnet désactivé par défaut ; l'exposition nécessite un telnetd explicitement en cours d'exécution.

Score CVSS

Cartographie MITRE ATT&CK

Installation

Prérequis : Python 3 (bibliothèque standard uniquement, zéro dépendance externe).

Aucun pip install nécessaire. Les deux scripts utilisent uniquement la bibliothèque standard de Python.

Structure du projet

• poc_cve_2026_24061.py : Minimal, lisible, pédagogique. Une cible, une fonction, zéro abstraction. Lisez ce fichier pour comprendre exactement comment la vulnérabilité fonctionne au niveau du protocole.
• cve_2026_24061.py : Exploit industrialisé pour les engagements de pentest. Multithread, prend en charge les plages CIDR, l'entrée par fichier, l'export CSV/JSON, le mode silencieux, les utilisateurs personnalisés.

Utilisation

PoC simple (poc_cve_2026_24061.py)

Exploite un hôte unique. Le code est délibérément minimal afin que vous puissiez le lire de bout en bout et comprendre toute la chaîne d'attaque.

Exploit industrialisé (cve_2026_24061.py)

Hôte unique

Plage CIDR (scan de masse)

Entrée par fichier

Export JSON

Utilisateur cible personnalisé

Mode silencieux (compatible pipeline)

Options complètes

Statuts de sortie

Colonnes de sortie CSV : ip:port, status, message

Comportement du PoC

Le script implémente nativement en Python la machine à états complète de la négociation Telnet NEW-ENVIRON sans dépendre de bibliothèques Telnet externes :

1. Ouvre une socket TCP brute vers la cible sur le port 23 (configurable).
2. Lit les séquences de commandes IAC entrantes et répond à DO NEW-ENVIRON avec WILL NEW-ENVIRON.
3. À la réception de la sous-négociation serveur SB NEW-ENVIRON SEND, transmet la charge utile injectée (USER = "-f root").
4. Surveille le tampon de réponse pour détecter les indicateurs de connexion root réussie : présence de uid=0(root) ou d'une invite de shell (#), en l'absence de Login incorrect ou Password:.
5. Si la charge utile a été injectée, envoie id\n et vérifie la présence de uid=0(root) dans la réponse comme confirmation secondaire.

Les résultats sont journalisés sur stdout avec des étiquettes de statut colorées. L'export CSV optionnel enregistre toutes les découvertes pour un post-traitement.

Remédiation et atténuation

Actions immédiates

1. Désactiver Telnet entièrement. Telnet transmet toutes les données en clair. Remplacez-le par SSH.

   root@kitploit:~

   sudo systemctl disable telnet.socket --now
   sudo systemctl disable inetd --now
   

2. Appliquer le correctif du fournisseur. Installez la version corrigée d'inetutils de votre distribution dès qu'elle est disponible.

3. Bloquer TCP/23 au périmètre. Appliquez des règles de pare-feu pour refuser les connexions Telnet entrantes.

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   # nftables
   sudo nft add rule inet filter input tcp dport 23 drop
   

Défense en profondeur

Détection (SIEM/IDS)

Squelette de règle Snort/Suricata pour détecter l'exploit en transit :

Renseignement sur les menaces

Ce dépôt fournit des artefacts de renseignement sur les menaces pré-générés, prêts à être importés dans votre pile SOC/CTI. Ils sont générés automatiquement par CI à partir de la charge utile réelle de l'exploit - si la charge utile change, les artefacts sont mis à jour.

MISP

Importez indicators/misp_event.json directement dans n'importe quelle instance MISP :

L'événement contient : ID CVE, vecteur CVSS, signature Snort, hex de la charge utile, balises MITRE ATT&CK (T1190, T1548, T1059), CPE et références externes.

STIX 2.1

Importez indicators/stix_bundle.json dans OpenCTI, les serveurs TAXII ou tout consommateur STIX 2.1.

Le bundle contient 11 objets : Vulnerability, Indicator (motif réseau), 3 Attack Patterns (MITRE), Course of Action (remédiation), Identity et les Relations les reliant.

Signatures IDS

Règles pré-construites dans signatures/ :

• snort.rules - 3 règles Snort/Suricata (tentative d'exploit, injection générique -f, shell root post-exploitation)
• sigma.yml - Règle Sigma pour corrélation SIEM

Régénération

Si vous modifiez la charge utile de l'exploit, régénérez tous les artefacts :

Références : MISP - OpenCTI - STIX 2.1 - Sigma

Références

• Dépôt officiel GNU InetUtils
• RFC 1572 - Option d'environnement Telnet (NEW-ENVIRON)
• RFC 854 - Spécification du protocole Telnet
• CVE-2001-0797 - Contournement historique SysV telnetd -f (précédent)
• MITRE ATT&CK - T1190 : Exploitation d'une application exposée publiquement
• MITRE ATT&CK - T1548 : Abus du mécanisme de contrôle d'élévation
• Projet MISP
• Page de manuel Linux login(1)

Avertissement légal

Cet outil est fourni uniquement pour les audits de sécurité autorisés, la recherche académique et les fins éducatives. L'utilisation contre des systèmes sans autorisation écrite explicite du propriétaire du système est illégale en vertu des lois applicables sur la fraude et les abus informatiques (y compris, sans s'y limiter, le CFAA, le Computer Misuse Act et la législation équivalente). L'auteur décline toute responsabilité en cas d'utilisation non autorisée ou malveillante.