CVE-2026-24061

CVE-2026-24061 - GNU InetUtils telnetd 인자 주입 인증 우회

GNU InetUtils 버전 1.9.3부터 2.7까지는 telnetd 서버에서 원격 인증 우회 취약점에 영향을 받습니다. telnetd 데몬은 USER 환경 변수를 login(1) 프로그램에 명령줄 인자로 전달하기 전에 적절히 정리(sanitize)하지 못합니다. 텔넷 클라이언트가 명령줄 플래그(예: -f root)를 포함한 USER 환경 변수를 보내면, telnetd는 이 정리되지 않은 값을 login 프로그램에 직접 전달합니다. login 유틸리티는 -f 플래그를 인증을 우회하라는 명령으로 해석하여, 공격자가 자격 증명을 제공하지 않고도 권한 없는 루트 액세스를 얻을 수 있습니다.

기능

• 전체 텔넷 프로토콜 구현

  • DO, DONT, WILL, WONT 협상을 처리합니다.
  • 하위 협상(subnegotiation) 구문 분석 및 연결 유지(keepalive) 메커니즘을 지원합니다.

• 자동 페이로드 주입

  • USER=-f root 주입을 포함한 조작된 ENVIRON 옵션 페이로드를 구성하여 전송합니다.

• 대화형 셸

  • 명령 실행을 위한 양방향 대화형 세션을 제공합니다.

• 연결 관리

  • 소켓 연결 유지, 타임아웃 처리 및 정상적인 세션 정리를 구현합니다.

• 상세 디버깅

  • 프로토콜 분석 및 문제 해결을 위한 선택적 디버그 출력.

사용법

python3 exploit.py <대상> -p <포트> [옵션]

필수 인자

선택적 인자

예제

기본 텔넷 포트 익스플로잇

python3 exploit.py 192.168.1.100

사용자 정의 포트 및 상세 출력 익스플로잇

python3 exploit.py 192.168.1.100 -p 2323 -v

불안정한 연결을 위한 확장된 연결 유지 간격 사용

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

익스플로잇 워크플로

1. 연결 수립

   • 적절한 소켓 옵션 및 연결 유지 설정으로 TCP 연결을 시작합니다.

2. 프로토콜 협상

   • 텔넷 옵션 협상(SGA, ECHO, ENVIRON)을 처리합니다.

3. 페이로드 전달

   • WILL ENVIRON을 보낸 후 조작된 하위 협상 페이로드를 전송합니다.

4. 인증 우회

   • -f root 인자가 login(1)에 주입되어 자격 증명 검사를 우회합니다.

5. 대화형 세션

   • 실시간 명령 실행과 함께 완전한 양방향 셸 액세스를 제공합니다.

기술 세부 사항

이 익스플로잇은 ENVIRON 텔넷 옵션(RFC 1572)을 활용하여 명령줄 인자를 USER 환경 변수에 주입합니다.

telnetd가 이 정리되지 않은 값을 login -f root에 전달하면, login 프로그램은 -f를 인증 우회를 강제하는 플래그로 해석하여 암호 확인 없이 루트 액세스를 부여합니다.

프로토콜 처리

익스플로잇 스크립트는 다음을 구현합니다:

• IAC (Interpret As Command) 바이트 이스케이프
• 하위 협상 구문 분석 및 구성
• 옵션 협상 응답(WILL, WONT, DO, DONT)
• 세션 안정성 유지를 위한 연결 유지 NOP 명령

예제 출력

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

요구 사항

• Python 3.7 이상
• 외부 종속성 없음
• Python 표준 라이브러리만 사용

탐지 및 완화

시스템 관리자는 다음을 모니터링하여 익스플로잇 시도를 탐지할 수 있습니다:

• ENVIRON 옵션 협상을 수행하는 텔넷 연결
• -f 또는 기타 명령줄 플래그를 포함한 USER 환경 변수
• 시스템 로그의 인증 우회 이벤트

완화

GNU InetUtils 버전 2.8로 업그레이드하거나, 환경 변수를 login(1)에 전달하기 전에 정리하는 공식 보안 패치를 적용하십시오.

면책 조항

이 개념 증명은 보안 연구, 취약점 검증 및 승인된 테스트 환경에서만 사용하기 위한 것입니다. 보안 평가를 수행할 명시적 권한이 있는 시스템에만 사용하십시오.