CVE-2026-28372 — GNU inetutils telnetd 권한 상승 PoC

👤 작성자

Mohammed Idrees Banyamer
요르단 🇯🇴
Instagram: @banyamer_security

보안 연구원 | 공격적 보안 | 익스플로잇 개발

🧨 익스플로잇 제목

CVE‑2026‑28372 — CREDENTIALS_DIRECTORY + login.noauth를 통한 GNU inetutils telnetd 권한 상승

📌 개요

이 Proof‑of‑Concept는 GNU inetutils telnetd의 로컬 권한 상승 취약점을 시연합니다.

telnetd는 클라이언트가 제어하는 환경 변수를 login(1)에 부적절하게 전달합니다.
다음을 설정하여:

CREDENTIALS_DIRECTORY=<공격자 디렉터리>

그리고 다음을 배치하여:

login.noauth = yes

인증이 우회되어 비밀번호 없이 루트 셸을 획득할 수 있습니다.

⚠️ 취약점 세부 정보

• CVE: CVE-2026-28372
• 영향을 받는 소프트웨어: GNU inetutils telnetd ≤ 2.7
• 조건: login.noauth를 지원하는 util-linux 버전
• 공격 유형: 로컬 권한 상승
• CVSS: 7.4 HIGH
• CWE: CWE‑829

🎯 영향을 받는 시스템

• 다음을 실행하는 Linux 시스템:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Ubuntu / Debian 계열 (테스트 완료)

🔬 익스플로잇 메커니즘

근본 원인

telnetd → login(1) 환경 변수 신뢰 문제.

공격 체인

1. 공격자가 제어하는 디렉터리 생성
2. 값이 yes인 login.noauth 파일 배치
3. Telnet NEW‑ENVIRON 옵션을 통해 환경 변수 주입
4. login이 공격자가 제어하는 자격 증명 디렉터리 읽기
5. 인증 우회 → 루트 셸

🧭 PoC 흐름 다이어그램

flowchart TD

A[비권한 사용자] --> B[가짜 자격 증명 디렉터리 생성]
B --> C[login.noauth = yes 배치]
C --> D[telnetd에 연결]
D --> E[ENV 변수 주입]
E --> F[CREDENTIALS_DIRECTORY 설정]
F --> G[telnetd가 login 호출]
G --> H[login이 login.noauth 읽기]
H --> I[인증 우회]
I --> J[루트 셸 획득]

▶️ 사용 방법

요구 사항

• Python 3
• 실행 중인 telnetd 서비스
• 로컬 접근 권한

PoC 실행

python3 cve-2026-28372.py

선택적 매개변수:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 자동으로 수행되는 익스플로잇 단계

✔ 공격자가 제어하는 자격 증명 디렉터리 생성 ✔ login.noauth 우회 파일 생성 ✔ telnetd에 연결 ✔ 악성 환경 변수 주입 ✔ 인증 우회 시도

🛡️ 완화 방법

즉시 조치

• inetutils 2.7 이후 패치 적용
• 환경 변수 검증
• 위험한 변수 해제:

unsetenv("CREDENTIALS_DIRECTORY")

권장 사항

• telnet 서비스 비활성화
• SSH 사용
• 로컬 서비스 제한
• 환경 변수 주입 모니터링

📚 기술 참고 사항

• 로컬 파일 쓰기 권한 필요
• telnetd는 /bin/login 또는 /usr/bin/login을 실행해야 함
• 실제 환경에서의 익스플로잇은 서비스 노출 여부에 따라 달라짐

⚖️ 면책 조항

이 PoC는 다음 목적으로 제공됩니다:

• 보안 연구
• 방어 목적
• 승인된 테스트 환경에서만 사용

무단 사용은 금지됩니다.

⭐ 크레딧

PoC 연구:

Mohammed Idrees Banyamer banyamer_security