CVE-2026-24061

Su sistemi in cui login accetta il flag -f (login forzato senza verifica della password), ciò comporta la concessione di una sessione root non autenticata all'attaccante remoto.

Questa classe di vulnerabilità ha precedenti storici: CVE-2001-0797 in SysV telnetd e il noto bypass -f di Linux telnetd del 1994 sfruttavano la stessa mancanza fondamentale di sanificazione degli argomenti provenienti dall'ambiente passati a binari privilegiati.

Nessuna credenziale richiesta. Nessun accesso preliminare necessario. Una singola sequenza di pacchetti di rete consente di ottenere root.

Analisi tecnica

Causa principale

GNU InetUtils telnetd elabora la sub-negoziazione NEW-ENVIRON (codice opzione 0x27, secondo RFC 1572) per raccogliere le variabili d'ambiente fornite dal client. Queste variabili vengono assemblate in un vettore di argomenti e passate a execve(2) quando viene avviato login(1).

La vulnerabilità viene attivata come segue:

1. Il server invia IAC DO NEW-ENVIRON, richiedendo le variabili d'ambiente dal client.
2. Il client malintenzionato risponde con IAC WILL NEW-ENVIRON.
3. Il server prosegue con IAC SB NEW-ENVIRON SEND IAC SE.
4. Il client invia il payload iniettato:

5. telnetd costruisce l'invocazione di login come login -f root.
6. login(1) interpreta -f come "login forzato, salta l'autenticazione" e autentica l'utente specificato (root) senza richiedere una password.

Analisi a livello di protocollo

Perché -f root funziona

Il binario login(1) su molti sistemi Linux accetta il flag -f <utente> per login "pre-autenticati", storicamente utilizzato da multiplexer di terminale e rlogin. Quando telnetd costruisce la sua chiamata exec e non riesce a rimuovere i trattini iniziali o a validare stringhe simili a opzioni nei valori delle variabili d'ambiente, passa inavvertitamente flag controllati dall'attaccante direttamente a login.

La chiamata effettiva diventa:

Scenario di attacco

Prerequisiti:

• Sistema target che esegue GNU InetUtils telnetd (TCP/23 aperto)
• Versione non patchata di inetutils
• Il binario login(1) supporta il flag -f (standard sulla maggior parte delle distribuzioni Linux)
• Nessun firewall che blocchi TCP/23

Versioni interessate

Verificare se la propria distribuzione include una versione patchata. Molti sistemi moderni hanno Telnet disabilitato per impostazione predefinita; l'esposizione richiede un telnetd esplicitamente in esecuzione.

Punteggio CVSS

Mappatura MITRE ATT&CK

Installazione

Requisiti: Python 3 (solo libreria standard, zero dipendenze esterne).

Nessuna necessità di pip install. Entrambi gli script utilizzano solo la libreria standard di Python.

Struttura del progetto

• poc_cve_2026_24061.py: Minimo, leggibile, didattico. Un target, una funzione, zero astrazioni. Leggere questo per comprendere esattamente come funziona la vulnerabilità a livello di protocollo.
• cve_2026_24061.py: Exploit industrializzato per test di penetrazione. Multithread, supporta intervalli CIDR, input da file, esportazione CSV/JSON, modalità silenziosa, utenti personalizzati.

Utilizzo

PoC semplice (poc_cve_2026_24061.py)

Sfrutta un singolo host. Il codice è volutamente minimale per poterlo leggere dall'inizio alla fine e comprendere l'intera catena di attacco.

Exploit industrializzato (cve_2026_24061.py)

Host singolo

Intervallo CIDR (scansione di massa)

Input da file

Esportazione JSON

Utente target personalizzato

Modalità silenziosa (compatibile con pipe)

Opzioni complete

Stati di output

Colonne di output CSV: ip:port, status, message

Comportamento del PoC

Lo script implementa l'intera macchina a stati della negoziazione Telnet NEW-ENVIRON nativamente in Python senza fare affidamento su librerie Telnet esterne:

1. Apre un socket TCP grezzo verso il target sulla porta 23 (configurabile).
2. Legge le sequenze di comandi IAC in arrivo e risponde a DO NEW-ENVIRON con WILL NEW-ENVIRON.
3. Alla ricezione della sub-negoziazione del server SB NEW-ENVIRON SEND, trasmette il payload iniettato (USER = "-f root").
4. Monitora il buffer di risposta per indicatori di login root riuscito: presenza di uid=0(root) o di un prompt di shell (#), in assenza di Login incorrect o Password:.
5. Se il payload è stato iniettato, invia id\n e verifica la presenza di uid=0(root) nella risposta come conferma secondaria.

I risultati vengono registrati su stdout con etichette di stato colorate. L'esportazione CSV opzionale registra tutti i risultati per l'elaborazione successiva.

Rimedi e mitigazione

Azioni immediate

1. Disabilitare completamente Telnet. Telnet trasmette tutti i dati in chiaro. Sostituirlo con SSH.

   root@kitploit:~

   sudo systemctl disable telnet.socket --now
   sudo systemctl disable inetd --now
   

2. Applicare la patch del fornitore. Installare la versione patchata di inetutils dalla propria distribuzione quando disponibile.

3. Bloccare TCP/23 al perimetro. Applicare regole firewall per negare le connessioni Telnet in ingresso.

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   # nftables
   sudo nft add rule inet filter input tcp dport 23 drop
   

Difesa in profondità

Rilevamento (SIEM/IDS)

Scheletro di regola Snort/Suricata per rilevare l'exploit in transito:

Threat Intelligence

Questo repository include artefatti di threat intelligence pre-generati, pronti per l'importazione nel proprio stack SOC/CTI. Sono generati automaticamente dalla CI a partire dal payload effettivo dell'exploit - se il payload cambia, gli artefatti si aggiornano.

MISP

Importare indicators/misp_event.json direttamente in qualsiasi istanza MISP:

L'evento contiene: ID CVE, vettore CVSS, firma Snort, payload hex, tag MITRE ATT&CK (T1190, T1548, T1059), CPE e riferimenti esterni.

STIX 2.1

Importare indicators/stix_bundle.json in OpenCTI, server TAXII o qualsiasi consumatore STIX 2.1.

Il bundle contiene 11 oggetti: Vulnerability, Indicator (pattern di rete), 3 Attack Patterns (MITRE), Course of Action (rimedio), Identity e Relationships che li collegano.

Firme IDS

Regole predefinite in signatures/:

• snort.rules - 3 regole Snort/Suricata (tentativo di exploit, iniezione generica -f, shell root post-sfruttamento)
• sigma.yml - Regola Sigma per correlazione SIEM

Rigenerazione

Se si modifica il payload dell'exploit, rigenerare tutti gli artefatti:

Riferimenti: MISP - OpenCTI - STIX 2.1 - Sigma

Riferimenti

• Repository ufficiale GNU InetUtils
• RFC 1572 - Opzione ambiente Telnet (NEW-ENVIRON)
• RFC 854 - Specifica del protocollo Telnet
• CVE-2001-0797 - Bypass storico SysV telnetd -f (precedente)
• MITRE ATT&CK - T1190: Sfruttamento di applicazioni esposte al pubblico
• MITRE ATT&CK - T1548: Abuso del meccanismo di controllo dell'elevazione
• Progetto MISP
• Pagina man Linux login(1)

Disclaimer legale

Questo strumento è fornito esclusivamente per audit di sicurezza autorizzati, ricerca accademica e scopi educativi. L'utilizzo contro sistemi senza esplicita autorizzazione scritta del proprietario del sistema è illegale ai sensi delle leggi applicabili su frode e abuso informatico (incluse, a titolo esemplificativo, CFAA, Computer Misuse Act e legislazione equivalente). L'autore non si assume alcuna responsabilità per utilizzi non autorizzati o dannosi.