CVE-2026-24061

CVE-2026-24061 - GNU InetUtils telnetd Argument Injection Authentication Bypass

Le versioni di GNU InetUtils dalla 1.9.3 alla 2.7 sono vulnerabili a una vulnerabilità di bypass dell'autenticazione remota nel server telnetd. Il demone telnetd non riesce a sanitizzare correttamente la variabile d'ambiente USER prima di passarla come argomento da riga di comando al programma login(1). Quando un client telnet invia una variabile d'ambiente USER contenente flag da riga di comando (come -f root), telnetd passa direttamente questo valore non sanitizzato al programma login. L'utility login interpreta il flag -f come un'istruzione per bypassare l'autenticazione, consentendo a un utente malintenzionato di ottenere accesso root non autorizzato senza fornire alcuna credenziale.

Caratteristiche

• Implementazione completa del protocollo Telnet

  • Gestisce le negoziazioni DO, DONT, WILL e WONT.
  • Supporta l'analisi delle subnegoziazioni e i meccanismi di keepalive.

• Iniezione automatica del payload

  • Costruisce e invia il payload dell'opzione ENVIRON predisposto con l'iniezione USER=-f root.

• Shell interattiva

  • Fornisce una sessione interattiva bidirezionale per l'esecuzione di comandi.

• Gestione della connessione

  • Implementa keepalive del socket, gestione dei timeout e pulizia della sessione.

• Debug verbose

  • Output di debug opzionale per l'analisi del protocollo e la risoluzione dei problemi.

Utilizzo

python3 exploit.py <target> -p <porta> [opzioni]

Argomenti obbligatori

Argomenti opzionali

Esempi

Sfruttare la porta Telnet predefinita

python3 exploit.py 192.168.1.100

Sfruttare una porta personalizzata con output verbose

python3 exploit.py 192.168.1.100 -p 2323 -v

Utilizzare un intervallo keepalive esteso per connessioni instabili

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

Flusso di sfruttamento

1. Stabilimento della connessione

   • Avvia una connessione TCP con opzioni socket appropriate e impostazioni keepalive.

2. Negoziazione del protocollo

   • Gestisce la negoziazione delle opzioni Telnet (SGA, ECHO e ENVIRON).

3. Consegna del payload

   • Invia WILL ENVIRON seguito dal payload di subnegoziazione predisposto.

4. Bypass dell'autenticazione

   • L'argomento -f root viene iniettato in login(1) per bypassare i controlli delle credenziali.

5. Sessione interattiva

   • Fornisce accesso completo bidirezionale alla shell con esecuzione di comandi in tempo reale.

Dettagli tecnici

Lo sfruttamento sfrutta l'opzione Telnet ENVIRON (RFC 1572) per iniettare argomenti da riga di comando nella variabile d'ambiente USER.

Quando telnetd passa questo valore non sanitizzato a login -f root, il programma di login interpreta -f come un flag che forza il bypass dell'autenticazione, concedendo accesso root senza verifica della password.

Gestione del protocollo

Lo script di sfruttamento implementa:

• Escape dei byte IAC (Interpreta Come Comando)
• Analisi e costruzione delle subnegoziazioni
• Risposte di negoziazione delle opzioni (WILL, WONT, DO, DONT)
• Comandi keepalive NOP per mantenere la stabilità della sessione

Output di esempio

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

Requisiti

• Python 3.7 o successivo
• Nessuna dipendenza esterna
• Utilizza solo la libreria standard di Python

Rilevamento e mitigazione

Gli amministratori di sistema possono rilevare tentativi di sfruttamento monitorando:

• Connessioni Telnet che eseguono la negoziazione dell'opzione ENVIRON.
• Variabili d'ambiente USER contenenti -f o altri flag da riga di comando.
• Eventi di bypass dell'autenticazione nei log di sistema.

Mitigazione

Aggiornare a GNU InetUtils versione 2.8 o applicare la patch di sicurezza ufficiale che sanitizza le variabili d'ambiente prima di passararle a login(1).

Dichiarazione di esclusione di responsabilità

Questa prova di concetto è destinata esclusivamente a scopi di ricerca sulla sicurezza, validazione di vulnerabilità e ambienti di test autorizzati. Utilizzarla solo su sistemi per i quali si dispone dell'autorizzazione esplicita per eseguire valutazioni di sicurezza.