CVE-2026-28372 — GNU inetutils telnetd 権限昇格 PoC

👤 著者

Mohammed Idrees Banyamer
ヨルダン 🇯🇴
Instagram: @banyamer_security

セキュリティ研究者 | オフェンシブセキュリティ | エクスプロイト開発

🧨 エクスプロイトタイトル

CVE‑2026‑28372 — CREDENTIALS_DIRECTORY + login.noauth による GNU inetutils telnetd 権限昇格

📌 概要

この Proof‑of‑Concept は、GNU inetutils telnetd におけるローカル権限昇格の脆弱性を実証します。

telnetd はクライアント制御の環境変数を login(1) に不適切に渡します。
以下を設定することで:

CREDENTIALS_DIRECTORY=<攻撃者ディレクトリ>

および:

login.noauth = yes

認証がバイパスされ、パスワードなしで root シェルが取得できる可能性があります。

⚠️ 脆弱性の詳細

• CVE: CVE-2026-28372
• 影響を受けるソフトウェア: GNU inetutils telnetd ≤ 2.7
• 条件: login.noauth をサポートする util-linux バージョン
• 攻撃タイプ: ローカル権限昇格
• CVSS: 7.4 HIGH
• CWE: CWE‑829

🎯 影響を受けるシステム

• 以下の環境で動作する Linux システム:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Ubuntu / Debian 派生ディストリビューション（テスト済み）

🔬 エクスプロイトの仕組み

根本原因

telnetd → login(1) の環境変数信頼の問題。

攻撃チェーン

1. 攻撃者が制御するディレクトリを作成
2. 値 yes の login.noauth ファイルを配置
3. Telnet NEW‑ENVIRON オプションを介して環境変数を注入
4. login が攻撃者制御の認証情報ディレクトリを読み込む
5. 認証バイパス → root シェル

🧭 PoC フロー図

flowchart TD

A[非特権ユーザー] --> B[偽の認証情報ディレクトリを作成]
B --> C[login.noauth = yes を配置]
C --> D[telnetd に接続]
D --> E[ENV 変数を注入]
E --> F[CREDENTIALS_DIRECTORY を設定]
F --> G[telnetd が login を呼び出し]
G --> H[login が login.noauth を読み込み]
H --> I[認証バイパス]
I --> J[root シェルを取得]

▶️ 使用方法

要件

• Python 3
• 実行中の telnetd サービス
• ローカルアクセス

PoC の実行

python3 cve-2026-28372.py

オプションパラメータ:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 エクスプロイトが自動的に実行する手順

✔ 攻撃者制御の認証情報ディレクトリを作成 ✔ login.noauth バイパスファイルを生成 ✔ telnetd に接続 ✔ 悪意のある環境変数を注入 ✔ 認証バイパスを試行

🛡️ 緩和策

即時修正

• inetutils 2.7 以降のパッチを適用
• 環境変数をサニタイズ
• 危険な変数を設定解除:

unsetenv("CREDENTIALS_DIRECTORY")

推奨事項

• telnet サービスを無効化
• 代わりに SSH を使用
• ローカルサービスを制限
• 環境変数注入を監視

📚 技術メモ

• ローカルファイル書き込みアクセスが必要
• telnetd は /bin/login または /usr/bin/login を起動する必要がある
• 実環境での悪用はサービスの公開状況に依存

⚖️ 免責事項

この PoC は以下の目的でのみ提供されます:

• セキュリティ研究
• 防御目的
• 認可されたテスト環境のみ

無断使用は禁止されています。

⭐ クレジット

発見・研究:

Mohammed Idrees Banyamer banyamer_security