CVE-2026-24061

login が -f フラグ（パスワード検証なしの強制ログイン）を受け入れるシステムでは、リモート攻撃者に認証不要の root セッションが付与される結果となります。

この脆弱性クラスには歴史的な前例があります。SysV telnetd の CVE-2001-0797 や、1994 年の有名な Linux telnetd -f バイパスは、特権バイナリに渡される環境由来の引数をサニタイズしないという同じ根本的な欠陥を悪用したものです。

認証情報は不要です。事前アクセスも不要です。単一のネットワークパケットシーケンスで root 権限を取得できます。

技術分析

根本原因

GNU InetUtils telnetd は、NEW-ENVIRON（RFC 1572 に基づくオプションコード 0x27）サブネゴシエーションを処理して、クライアントから提供された環境変数を収集します。これらの変数は引数ベクターに組み立てられ、login(1) を起動する際に execve(2) に渡されます。

この脆弱性は次のようにトリガーされます：

1. サーバーは IAC DO NEW-ENVIRON を送信し、クライアントに環境変数を要求します。
2. 悪意のあるクライアントは IAC WILL NEW-ENVIRON で応答します。
3. サーバーは IAC SB NEW-ENVIRON SEND IAC SE を続けて送信します。
4. クライアントは注入ペイロードを送信します：

5. telnetd は login -f root として login 呼び出しを構築します。
6. login(1) は -f を「強制ログイン、認証スキップ」として解釈し、指定されたユーザー（root）をパスワードなしでログインさせます。

プロトコルレベルの詳細

-f root が機能する理由

多くの Linux システムの login(1) バイナリは、「事前認証済み」ログイン用の -f <user> フラグを受け入れます。これは歴史的にターミナルマルチプレクサや rlogin で使用されてきました。telnetd が exec 呼び出しを構築する際に、先頭のハイフンを除去したり、環境変数値のオプション風文字列を検証したりしないため、攻撃者が制御するフラグが意図せず login に直接渡されます。

実質的な呼び出しは次のようになります：

攻撃シナリオ

前提条件：

• GNU InetUtils telnetd（TCP/23 オープン）を実行しているターゲットシステム
• パッチ未適用の inetutils バージョン
• login(1) バイナリが -f フラグをサポートしている（ほとんどの Linux ディストリビューションで標準）
• TCP/23 をブロックするファイアウォールがないこと

影響を受けるバージョン

お使いのディストリビューションがパッチ適用済みバージョンを提供しているか確認してください。多くの最新システムでは Telnet はデフォルトで無効化されています。曝露には明示的に実行中の telnetd が必要です。

CVSS スコア

MITRE ATT&CK マッピング

インストール

要件： Python 3（標準ライブラリのみ、外部依存関係ゼロ）。

pip install は不要です。両スクリプトは Python 標準ライブラリのみを使用します。

プロジェクト構成

• poc_cve_2026_24061.py：最小限で読みやすく、教育的。単一ターゲット、単一機能、抽象化ゼロ。プロトコルレベルで脆弱性がどのように機能するかを正確に理解するためにこれを読んでください。
• cve_2026_24061.py：ペネトレーションテスト業務向けの実戦用エクスプロイト。マルチスレッド、CIDR レンジ対応、ファイル入力、CSV/JSON エクスポート、クワイエットモード、カスタムユーザー対応。

使用方法

シンプルな PoC（poc_cve_2026_24061.py）

単一ホストを悪用します。コードは意図的に最小限に保たれており、最初から最後まで読んで攻撃チェーン全体を理解できます。

実戦用エクスプロイト（cve_2026_24061.py）

単一ホスト

CIDR レンジ（マススキャン）

ファイル入力

JSON エクスポート

カスタムターゲットユーザー

クワイエットモード（パイプ連携向け）

全オプション

出力ステータス

CSV 出力列：ip:port, status, message

PoC の動作

このスクリプトは、外部の Telnet ライブラリに依存せず、完全な Telnet NEW-ENVIRON ネゴシエーションステートマシンを Python でネイティブに実装しています：

1. ターゲットのポート 23（設定可能）への生の TCP ソケットを開きます。
2. 受信した IAC コマンドシーケンスを読み取り、DO NEW-ENVIRON に WILL NEW-ENVIRON で応答します。
3. サーバーの SB NEW-ENVIRON SEND サブネゴシエーションを受信すると、注入ペイロード（USER = "-f root"）を送信します。
4. 応答バッファを監視し、root ログイン成功の指標（uid=0(root) の存在またはシェルプロンプト（#））を確認します。Login incorrect や Password: が存在しないことを確認します。
5. ペイロードが注入された場合、id\n を送信し、応答内の uid=0(root) を二次確認としてチェックします。

結果は色分けされたステータスラベル付きで stdout に記録されます。オプションの CSV エクスポートにより、後処理用にすべての検出結果が記録されます。

対策と緩和策

即時対応

1. Telnet を完全に無効化します。 Telnet はすべてのデータを平文で送信します。SSH に置き換えてください。

   root@kitploit:~

   sudo systemctl disable telnet.socket --now
   sudo systemctl disable inetd --now
   

2. ベンダーパッチを適用します。 利用可能になり次第、ディストリビューションからパッチ適用済みの inetutils バージョンをインストールします。

3. 境界で TCP/23 をブロックします。 受信 Telnet 接続を拒否するファイアウォールルールを適用します。

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   # nftables
   sudo nft add rule inet filter input tcp dport 23 drop
   

多層防御

検知（SIEM/IDS）

転送中のエクスプロイトを検知するための Snort/Suricata ルールのスケルトン：

脅威インテリジェンス

このリポジトリには、SOC/CTI スタックにすぐにインポートできる事前生成済みの脅威インテリジェンス成果物が同梱されています。これらは実際のエクスプロイトペイロードから CI によって自動生成されます。ペイロードが変更されると、成果物も更新されます。

MISP

indicators/misp_event.json を任意の MISP インスタンスに直接インポートします：

このイベントには、CVE ID、CVSS ベクター、Snort シグネチャ、ペイロード 16 進、MITRE ATT&CK タグ（T1190、T1548、T1059）、CPE、外部参照が含まれます。

STIX 2.1

indicators/stix_bundle.json を OpenCTI、TAXII サーバー、または任意の STIX 2.1 コンシューマーにインポートします。

このバンドルには 11 個のオブジェクトが含まれます：脆弱性（Vulnerability）、指標（Indicator、ネットワークパターン）、3 つの攻撃パターン（MITRE）、対策（Course of Action、修復）、アイデンティティ（Identity）、およびそれらをリンクするリレーションシップ。

IDS シグネチャ

signatures/ 内の事前構築済みルール：

• snort.rules - 3 つの Snort/Suricata ルール（エクスプロイト試行、一般的な -f インジェクション、悪用後の root シェル）
• sigma.yml - SIEM 相関用の Sigma ルール

再生成

エクスプロイトペイロードを変更した場合は、すべての成果物を再生成します：

参考情報：MISP - OpenCTI - STIX 2.1 - Sigma

参考情報

• GNU InetUtils 公式リポジトリ
• RFC 1572 - Telnet 環境オプション（NEW-ENVIRON）
• RFC 854 - Telnet プロトコル仕様
• CVE-2001-0797 - 歴史的な SysV telnetd -f バイパス（前例）
• MITRE ATT&CK - T1190: 公開アプリケーションの悪用
• MITRE ATT&CK - T1548: 昇格制御メカニズムの悪用
• MISP プロジェクト
• Linux login(1) マニュアルページ

法的免責事項

このツールは許可されたセキュリティ監査、学術研究、教育目的のみで提供されています。システム所有者からの明示的な書面による許可なしにシステムに対して使用することは、該当するコンピュータ詐欺および悪用に関する法律（CFAA、Computer Misuse Act、および同等の法律を含むがこれらに限定されない）に基づき違法です。著者は、許可のない使用または悪意のある使用について一切の責任を負いません。