CVE-2026-28372 — Élévation de privilèges dans telnetd de GNU inetutils — PoC

👤 Auteur

Mohammed Idrees Banyamer
Jordanie 🇯🇴
Instagram : @banyamer_security

Chercheur en sécurité | Sécurité offensive | Développement d'exploits

🧨 Titre de l'exploit

CVE‑2026‑28372 — Élévation de privilèges dans telnetd de GNU inetutils via CREDENTIALS_DIRECTORY + login.noauth

📌 Vue d'ensemble

Cette preuve de concept démontre une vulnérabilité d'élévation locale de privilèges dans telnetd de GNU inetutils.

telnetd transmet incorrectement les variables d'environnement contrôlées par le client à login(1).
En définissant :

CREDENTIALS_DIRECTORY=<répertoire de l'attaquant>

et en plaçant :

login.noauth = yes

l'authentification est contournée, ce qui peut accorder un shell root sans mot de passe.

⚠️ Détails de la vulnérabilité

• CVE : CVE-2026-28372
• Logiciel concerné : telnetd de GNU inetutils ≤ 2.7
• Condition : version d'util-linux prenant en charge login.noauth
• Type d'attaque : Élévation locale de privilèges
• CVSS : 7.4 ÉLEVÉE
• CWE : CWE‑829

🎯 Systèmes concernés

• Systèmes Linux exécutant :
  • inetutils-telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Dérivés Ubuntu / Debian (testés)

🔬 Mécanisme de l'exploit

Cause racine

Problème de confiance des variables d'environnement dans telnetd → login(1).

Chaîne d'attaque

1. L'attaquant crée un répertoire contrôlé
2. Place le fichier login.noauth avec la valeur yes
3. Injecte des variables d'environnement via l'option Telnet NEW‑ENVIRON
4. login lit le répertoire d'identifiants contrôlé par l'attaquant
5. Contournement de l'authentification → shell root

🧭 Schéma du flux du PoC

flowchart TD

A[Utilisateur non privilégié] --> B[Créer un faux répertoire d'identifiants]
B --> C[Placer login.noauth = yes]
C --> D[Se connecter à telnetd]
D --> E[Injecter les variables d'environnement]
E --> F[Définir CREDENTIALS_DIRECTORY]
F --> G[telnetd appelle login]
G --> H[login lit login.noauth]
H --> I[Contournement de l'authentification]
I --> J[Shell root obtenu]

▶️ Utilisation

Prérequis

• Python 3
• Service telnetd en cours d'exécution
• Accès local

Exécuter le PoC

python3 cve-2026-28372.py

Paramètres facultatifs :

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 Étapes de l'exploit exécutées automatiquement

✔ Créer un répertoire d'identifiants contrôlé par l'attaquant ✔ Générer le fichier de contournement login.noauth ✔ Se connecter à telnetd ✔ Injecter des variables d'environnement malveillantes ✔ Tenter le contournement de l'authentification

🛡️ Atténuation

Correctif immédiat

• Appliquer les correctifs après inetutils 2.7
• Assainir les variables d'environnement
• Désactiver les variables dangereuses :

unsetenv("CREDENTIALS_DIRECTORY")

Recommandations

• Désactiver le service telnet
• Utiliser SSH à la place
• Restreindre les services locaux
• Surveiller l'injection de variables d'environnement

📚 Notes techniques

• Nécessite un accès en écriture local aux fichiers
• telnetd doit lancer /bin/login ou /usr/bin/login
• L'exploitation dans le monde réel dépend de l'exposition du service

⚖️ Avertissement

Ce PoC est fourni pour :

• La recherche en sécurité
• Des fins défensives
• Des environnements de test autorisés uniquement

Toute utilisation non autorisée est interdite.

⭐ Crédits

PoC recherché par :

Mohammed Idrees Banyamer banyamer_security