CVE-2026-28372 — PoC di Privilege Escalation in GNU inetutils telnetd

👤 Autore

Mohammed Idrees Banyamer
Giordania 🇯🇴
Instagram: @banyamer_security

Ricercatore di Sicurezza | Offensive Security | Sviluppo Exploit

🧨 Titolo dell'Exploit

CVE‑2026‑28372 — Privilege Escalation in GNU inetutils telnetd tramite CREDENTIALS_DIRECTORY + login.noauth

📌 Panoramica

Questa Proof‑of‑Concept dimostra una vulnerabilità di Privilege Escalation Locale in GNU inetutils telnetd.

telnetd passa in modo improprio variabili d'ambiente controllate dal client a login(1).
Impostando:

CREDENTIALS_DIRECTORY=<directory dell'attaccante>

e inserendo:

login.noauth = yes

l'autenticazione viene bypassata, consentendo potenzialmente di ottenere una shell di root senza password.

⚠️ Dettagli della Vulnerabilità

• CVE: CVE-2026-28372
• Software Affetto: GNU inetutils telnetd ≤ 2.7
• Condizione: versione di util-linux che supporta login.noauth
• Tipo di Attacco: Privilege Escalation Locale
• CVSS: 7.4 ALTA
• CWE: CWE‑829

🎯 Sistemi Affetti

• Sistemi Linux con:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Derivati Ubuntu / Debian (testati)

🔬 Meccanismo dell'Exploit

Causa Principale

Problema di fiducia nelle variabili d'ambiente in telnetd → login(1).

Catena di Attacco

1. L'attaccante crea una directory controllata
2. Inserisce il file login.noauth con valore yes
3. Inietta variabili d'ambiente tramite l'opzione Telnet NEW‑ENVIRON
4. login legge la directory delle credenziali controllata dall'attaccante
5. Bypass dell'autenticazione → shell di root

🧭 Diagramma di Flusso del PoC

flowchart TD

A[Utente non privilegiato] --> B[Creare directory credenziali fake]
B --> C[Inserire login.noauth = yes]
C --> D[Connettersi a telnetd]
D --> E[Iniettare variabili ENV]
E --> F[Impostare CREDENTIALS_DIRECTORY]
F --> G[telnetd chiama login]
G --> H[login legge login.noauth]
H --> I[Bypass dell'autenticazione]
I --> J[Shell di root ottenuta]

▶️ Utilizzo

Requisiti

• Python 3
• Servizio telnetd in esecuzione
• Accesso locale

Eseguire il PoC

python3 cve-2026-28372.py

Parametri opzionali:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 Passaggi dell'Exploit Eseguiti Automaticamente

✔ Creare una directory delle credenziali controllata dall'attaccante ✔ Generare il file di bypass login.noauth ✔ Connettersi a telnetd ✔ Iniettare variabili d'ambiente dannose ✔ Tentare il bypass dell'autenticazione

🛡️ Mitigazione

Correzione Immediata

• Applicare le patch successive a inetutils 2.7
• Sanificare le variabili d'ambiente
• Rimuovere le variabili pericolose:

unsetenv("CREDENTIALS_DIRECTORY")

Raccomandazioni

• Disabilitare il servizio telnet
• Utilizzare SSH al suo posto
• Limitare i servizi locali
• Monitorare l'iniezione di variabili d'ambiente

📚 Note Tecniche

• Richiede accesso in scrittura a file locali
• telnetd deve avviare /bin/login o /usr/bin/login
• Lo sfruttamento nel mondo reale dipende dall'esposizione del servizio

⚖️ Disclaimer

Questo PoC è fornito per:

• Ricerca sulla sicurezza
• Scopi difensivi
• Esclusivamente ambienti di test autorizzati

L'uso non autorizzato è vietato.

⭐ Crediti

PoC Ricercato da:

Mohammed Idrees Banyamer banyamer_security