CVE-2026-24061

CVE-2026-24061 - GNU InetUtils telnetd 引数インジェクションによる認証回避

GNU InetUtils バージョン 1.9.3 から 2.7 は、telnetd サーバーにおけるリモート認証回避の脆弱性の影響を受けます。telnetd デーモンは、USER 環境変数を login(1) プログラムにコマンドライン引数として渡す前に適切にサニタイズしません。telnet クライアントが -f root などのコマンドラインフラグを含む USER 環境変数を送信すると、telnetd はこのサニタイズされていない値をそのまま login プログラムに渡します。login ユーティリティは -f フラグを認証を回避する指示として解釈し、攻撃者は資格情報を提供することなく root アクセスを不正に取得できます。

機能

• 完全なTelnetプロトコル実装

  • DO、DONT、WILL、WONT のネゴシエーションを処理します。
  • サブネゴシエーションの解析とキープアライブ機構をサポートします。

• 自動ペイロードインジェクション

  • USER=-f root インジェクションを含む細工された ENVIRON オプションペイロードを構築して送信します。

• インタラクティブシェル

  • コマンド実行のための双方向インタラクティブセッションを提供します。

• 接続管理

  • ソケットキープアライブ、タイムアウト処理、およびグレースフルなセッションクリーンアップを実装します。

• 冗長デバッグ

  • プロトコル分析とトラブルシューティングのためのオプションのデバッグ出力。

使用方法

python3 exploit.py <target> -p <port> [options]

必須引数

オプション引数

使用例

デフォルトのTelnetポートを攻撃する

python3 exploit.py 192.168.1.100

カスタムポートを冗長出力で攻撃する

python3 exploit.py 192.168.1.100 -p 2323 -v

不安定な接続のために拡張キープアライブ間隔を使用する

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

エクスプロイトの流れ

1. 接続の確立

   • 適切なソケットオプションとキープアライブ設定でTCP接続を開始します。

2. プロトコルネゴシエーション

   • Telnetオプションネゴシエーション（SGA、ECHO、ENVIRON）を処理します。

3. ペイロードの配信

   • WILL ENVIRON を送信し、続いて細工されたサブネゴシエーションペイロードを送信します。

4. 認証の回避

   • -f root 引数が login(1) に注入され、資格情報チェックを回避します。

5. インタラクティブセッション

   • リアルタイムのコマンド実行による完全な双方向シェルアクセスを提供します。

技術的詳細

このエクスプロイトは、ENVIRON Telnetオプション（RFC 1572）を利用して、コマンドライン引数を USER 環境変数に注入します。

telnetd がこのサニタイズされていない値を login -f root に渡すと、loginプログラムは -f を認証回避を強制するフラグとして解釈し、パスワード検証なしでrootアクセスを許可します。

プロトコル処理

このエクスプロイトスクリプトは以下を実装しています：

• IAC（Interpret As Command）バイトエスケープ
• サブネゴシエーションの解析と構築
• オプションネゴシエーション応答（WILL、WONT、DO、DONT）
• セッションの安定性を維持するためのキープアライブ NOP コマンド

出力例

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

必要条件

• Python 3.7 以降
• 外部依存関係なし
• Python標準ライブラリのみを使用

検出と緩和策

システム管理者は以下を監視することで攻撃の試みを検出できます：

• ENVIRON オプションネゴシエーションを実行するTelnet接続。
• -f または他のコマンドラインフラグを含む USER 環境変数。
• システムログにおける認証回避イベント。

緩和策

GNU InetUtils バージョン 2.8 にアップグレードするか、環境変数を login(1) に渡す前にサニタイズする公式セキュリティパッチを適用してください。

免責事項

この概念実証は、セキュリティ研究、脆弱性の検証、および許可されたテスト環境のみを目的としています。セキュリティ評価を実行する明示的な許可があるシステムに対してのみ使用してください。