Rapporto di laboratorio demo CyberHawks

Crediti a: @SafeBreach-Labs

CVE: CVE-2026-24061

Laboratorio: Cyberhawks Lab
Target: 10.1.1.1 (demo.cyberhawks.lab)
ID Finding: WU-08
Data: 2026-09-08
Severità: Critica
Stato: Confermata / Sfruttata

Riepilogo Esecutivo

Durante una valutazione dell'ambiente di laboratorio Cyberhawks, è stata identificata e sfruttata con successo una vulnerabilità di Remote Code Execution (RCE) non autenticata sull'host target (10.1.1.1). Lo sfruttamento di CVE-2026-24061 tramite un servizio Telnet esposto (TCP/23) ha consentito di ottenere una shell interattiva con privilegi di root, garantendo il pieno controllo amministrativo del sistema.

Ambito e Ambiente

Ricognizione

Scansione delle Porte

È stata eseguita una scansione delle versioni dei servizi con Nmap contro il target per enumerare le porte e i servizi aperti.

Comando:

nmap -sV 10.1.1.1

Riepilogo dei Risultati:

Osservazioni Rilevanti:

• L'host espone un'ampia e preoccupante superficie d'attacco su 15 porte.
• La porta 23 (Telnet) era accessibile, rendendola un target prioritario immediato.
• La presenza di Telnet — un protocollo intrinsecamente insicuro e in chiaro — su qualsiasi host moderno rappresenta una configurazione errata critica. È probabile che la versione del servizio sia sfruttabile.

Dettagli della Vulnerabilità

Descrizione

CVE-2026-24061 è una vulnerabilità di Remote Code Execution non autenticata che interessa il componente demone Telnet di GNU inetutils 2.6. Lo sfruttamento consente a un attaccante remoto non autenticato di eseguire comandi arbitrari sul sistema target con i privilegi del servizio in esecuzione — in questo caso, root.

Sfruttamento

Strumento / Exploit Utilizzato

Uno script di exploit Python appositamente realizzato (telnet_rce.py) che mira a CVE-2026-24061 è stato eseguito contro il servizio Telnet vulnerabile.

Comando:

python3 telnet_rce.py 10.1.1.1

Output dell'Exploit:

[*] Connesso a 10.1.1.1:23
[*] Sessione interattiva avviata. Usa Ctrl+C per uscire.

Linux 6.12.41+deb13-amd64 (demo.cyberhawks.lab) (pts/0)

root@demo:~#

Verifica Post-Sfruttamento

Dopo aver ottenuto una shell, i seguenti comandi hanno confermato il livello di accesso raggiunto:

Verifica dell'Identità:

root@demo:~# id
uid=0(root) gid=0(root) groups=0(root)

Enumerazione del Filesystem:

root@demo:~# ls -la
totale 36
drwx------  6 root root 4096 Ago 28 14:47 .
drwxr-xr-x 19 root root 4096 Ago 28 15:37 ..
-rw-r--r--  1 root root  607 Mag 12  2025 .bashrc
drwx------  4 root root 4096 Set  6  2025 .cache
drwxr-xr-x  3 root root 4096 Set  6  2025 .config
drwxrwxr-x  3 root root 4096 Set  6  2025 .local
-rw-------  1 root root  261 Set  6  2025 .mariadb_history
-rw-r--r--  1 root root  132 Mag 12  2025 .profile
drwx------  2 root root 4096 Set  6  2025 .ssh

Verifica della Versione del Servizio

root@demo:~# telnet --version

telnet (GNU inetutils) 2.6
Copyright (C) 2025 Free Software Foundation, Inc.
Licenza GPLv3+: GNU GPL versione 3 o successiva <https://gnu.org/licenses/gpl.html>.
Questo è software libero: sei libero di modificarlo e ridistribuirlo.
NON ESISTE ALCUNA GARANZIA, nei limiti consentiti dalla legge.

Scritto da molti autori.

Risultati chiave dal post-sfruttamento:

• .mariadb_history — indica un uso attivo del database MariaDB; potenziale per ulteriore raccolta di credenziali o esfiltrazione di dati.
• Directory .ssh/ — potrebbe contenere chiavi private utilizzabili per movimento laterale verso altri host.
• È stato confermato l'accesso completo root (UID 0) senza alcun passaggio di escalation dei privilegi.

Impatto

È stato raggiunto il pieno compromesso del sistema in un singolo passaggio non autenticato. Un attaccante con accesso a questo segmento di rete potrebbe:

• Leggere, modificare o esfiltrare tutti i dati memorizzati sull'host.
• Raccogliere credenziali dalla cronologia della shell, dai file di configurazione e dal database MariaDB.
• Utilizzare le chiavi SSH per muoversi lateralmente verso altri host sulla rete.
• Stabilire persistenza (ad es., account backdoor, cron job, rootkit).
• Interrompere la disponibilità di tutti i servizi in esecuzione sull'host.

Raccomandazioni

Immediato (Priorità Critica)

1. Applicare la patch o mitigare CVE-2026-24061 — Applicare la patch fornita dal vendor per GNU inetutils se Telnet deve rimanere in uso. Verificare la presenza di un pacchetto aggiornato:
   root@kitploit:~

   apt update && apt install inetutils-telnetd
   

Artefatti e Prove

Rapporto preparato per Cyberhawks Lab — solo a scopo educativo.