CVE-2026-28372 — GNU inetutils telnetd विशेषाधिकार वृद्धि PoC

👤 लेखक

मोहम्मद इदरीस बन्यामेर
जॉर्डन 🇯🇴
Instagram: @banyamer_security

सुरक्षा शोधकर्ता | आक्रामक सुरक्षा | एक्सप्लॉइट विकास

🧨 एक्सप्लॉइट शीर्षक

CVE‑2026‑28372 — CREDENTIALS_DIRECTORY + login.noauth के माध्यम से GNU inetutils telnetd विशेषाधिकार वृद्धि

📌 अवलोकन

यह Proof‑of‑Concept GNU inetutils telnetd में एक स्थानीय विशेषाधिकार वृद्धि (Local Privilege Escalation) भेद्यता प्रदर्शित करता है।

telnetd क्लाइंट-नियंत्रित पर्यावरण चरों को login(1) तक अनुचित रूप से पहुँचाता है।
सेट करके:

CREDENTIALS_DIRECTORY=<हमलावर निर्देशिका>

और रखकर:

login.noauth = yes

प्रमाणीकरण को दरकिनार कर दिया जाता है, जिससे संभावित रूप से बिना पासवर्ड के रूट शेल प्राप्त हो सकता है।

⚠️ भेद्यता विवरण

• CVE: CVE-2026-28372
• प्रभावित सॉफ़्टवेयर: GNU inetutils telnetd ≤ 2.7
• शर्त: util-linux संस्करण जो login.noauth का समर्थन करता है
• हमले का प्रकार: स्थानीय विशेषाधिकार वृद्धि
• CVSS: 7.4 उच्च
• CWE: CWE‑829

🎯 प्रभावित सिस्टम

• Linux सिस्टम जिनमें चल रहा है:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Ubuntu / Debian व्युत्पन्न (परीक्षित)

🔬 एक्सप्लॉइट तंत्र

मूल कारण

telnetd → login(1) पर्यावरण चर विश्वास समस्या।

हमले की श्रृंखला

1. हमलावर नियंत्रित निर्देशिका बनाता है
2. login.noauth फ़ाइल को yes मान के साथ रखता है
3. Telnet NEW‑ENVIRON विकल्प के माध्यम से पर्यावरण चर इंजेक्ट करता है
4. login हमलावर-नियंत्रित क्रेडेंशियल निर्देशिका पढ़ता है
5. प्रमाणीकरण दरकिनार → रूट शेल

🧭 PoC प्रवाह आरेख

flowchart TD

A[अविशेषाधिकृत उपयोगकर्ता] --> B[नकली क्रेडेंशियल निर्देशिका बनाएं]
B --> C[login.noauth = yes रखें]
C --> D[telnetd से कनेक्ट करें]
D --> E[ENV चर इंजेक्ट करें]
E --> F[CREDENTIALS_DIRECTORY सेट करें]
F --> G[telnetd login को कॉल करता है]
G --> H[login login.noauth पढ़ता है]
H --> I[प्रमाणीकरण दरकिनार]
I --> J[रूट शेल प्राप्त]

▶️ उपयोग

आवश्यकताएँ

• Python 3
• चालू telnetd सेवा
• स्थानीय पहुँच

PoC चलाएँ

python3 cve-2026-28372.py

वैकल्पिक पैरामीटर:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 स्वचालित रूप से किए गए एक्सप्लॉइट चरण

✔ हमलावर-नियंत्रित क्रेडेंशियल निर्देशिका बनाएँ ✔ login.noauth बायपास फ़ाइल उत्पन्न करें ✔ telnetd से कनेक्ट करें ✔ दुर्भावनापूर्ण पर्यावरण चर इंजेक्ट करें ✔ प्रमाणीकरण बायपास का प्रयास करें

🛡️ शमन

तत्काल समाधान

• inetutils 2.7 के बाद पैच लागू करें
• पर्यावरण चरों को साफ़ करें
• खतरनाक चर अनसेट करें:

unsetenv("CREDENTIALS_DIRECTORY")

अनुशंसित

• telnet सेवा अक्षम करें
• इसके बजाय SSH का उपयोग करें
• स्थानीय सेवाओं को प्रतिबंधित करें
• पर्यावरण चर इंजेक्शन की निगरानी करें

📚 तकनीकी नोट्स

• स्थानीय फ़ाइल लेखन पहुँच की आवश्यकता है
• telnetd को /bin/login या /usr/bin/login स्पॉन करना चाहिए
• वास्तविक दुनिया में शोषण सेवा की उपलब्धता पर निर्भर करता है

⚖️ अस्वीकरण

यह PoC निम्नलिखित के लिए प्रदान किया गया है:

• सुरक्षा अनुसंधान
• रक्षात्मक उद्देश्य
• केवल अधिकृत परीक्षण वातावरण

अनधिकृत उपयोग निषिद्ध है।

⭐ श्रेय

PoC अनुसंधान द्वारा:

मोहम्मद इदरीस बन्यामेर banyamer_security