Instalação

Uso

Execução Básica

Laboratório Docker (Teste Seguro)

Teste o exploit contra um alvo vulnerável conhecido sem arriscar sistemas reais:

O laboratório executa um telnetd do GNU InetUtils 2.5 vulnerável em um contêiner isolado, vinculado apenas ao localhost. Sem exposição à rede.

Modo Detalhado

Depure o handshake telnet e veja exatamente o que está acontecendo no fio:

A saída detalhada mostra:

• Cada comando IAC (DO/WILL/SB) enviado e recebido
• Nomes de opções telnet decodificados
• Dumps hexadecimais de payload para subnegociações
• Fluxo do exploit passo a passo (handshake de 6 etapas)

Fluxo de Alvo Único

1. Escolha a opção 1
2. Digite o alvo (IP ou domínio, ex.: 192.168.1.100 ou example.com)
3. Especifique a porta (padrão é 23 se deixado em branco)
4. Selecione o tipo de teste:
   • 1 – Ambas as vulnerabilidades
   • 2 – Apenas CVE-2026-24061 (bypass de autenticação)
   • 3 – Apenas CVE-2026-32746 (estouro de buffer)

Fluxo de Varredura em Lote

1. Crie um arquivo com os alvos (um por linha) Exemplo targets.txt:
   root@kitploit:~

   192.168.1.100
   192.168.1.101
   10.0.0.50
   example.com
   # Esta é uma linha de comentário - ignorada
   

2. Escolha a opção 2
3. Digite o nome do arquivo
4. Especifique a porta (padrão é 23)
5. Selecione o tipo de teste (1, 2 ou 3)
6. O scanner irá:
   • Mostrar o progresso para cada alvo
   • Exibir os resultados à medida que são concluídos
   • Fornecer uma tabela resumida ao final

Quando um Shell é Obtido

Se o CVE-2026-24061 for bem-sucedido:

1. A vulnerabilidade é detectada
2. Um shell interativo root aparece diretamente na mesma janela do terminal
3. Digite comandos e veja a saída imediatamente (ex.: id, whoami, ls)
4. Pressione Ctrl+C para sair do shell e retornar ao menu do scanner
5. Para varreduras em lote, você será perguntado se deseja interagir com o shell ou continuar a varredura

Nenhum terminal separado ou etapas extras são necessários.

Como Funciona

CVE-2026-24061 – Bypass de Autenticação

O exploit segue um handshake telnet preciso de 6 etapas para garantir compatibilidade com o telnetd real do GNU InetUtils:

1. Aguardar negociação do servidor – Até 15 segundos para DNS reverso e opções DO iniciais
2. Responder WILL – Reconhecer TTYPE, TSPEED, XDISPLOC, NEW_ENVIRON
3. Aguardar SB SEND – Solicitações de subnegociação do servidor
4. Enviar payload do exploit – Definir USER="-f root" via subnegociação NEW_ENVIRON
5. Lidar com as trocas restantes – Responder a DO/WILL para SGA, ECHO, LINEMODE, NAWS
6. Detectar shell – Procurar por prompt # , root@ ou $

Uma thread de keepalive envia IAC NOP a cada 2 segundos para evitar que o ttloop() do telnetd detecte EOF e chame exit(1) antes que o payload seja processado.

O telnetd vulnerável passa -f root para /usr/bin/login, ignorando a autenticação e concedendo acesso imediato ao shell root.

CVE-2026-32746 – Detecção de Estouro de Buffer

• Negocia a opção LINEMODE (RFC 1184)
• Envia 500+ tripletos SLC (1500+ bytes) para estourar o buffer de tamanho fixo
• Monitora reinicializações/quedas de conexão para confirmar a vulnerabilidade

Validação de Conexão

• Pré-varredura para verificar a disponibilidade do serviço antes de tentar exploits
• Distingue entre:
  • Portas filtradas (firewall bloqueando)
  • Serviços offline (nenhum serviço em execução)
  • Serviços vulneráveis (exploit bem-sucedido)

Exemplo de Saída

Alvo Único

Saída do Modo Detalhado (Parcial)

Varredura em Lote

Mitigação

Se você descobrir sistemas vulneráveis, aplique estas correções:

1. Atualize o GNU InetUtils para a versão 2.8 ou superior
2. Desabilite o telnetd e bloqueie a porta TCP/23 nos limites da rede
3. Restrinja o acesso apenas a redes confiáveis
4. Monitore logs em busca de conexões com valores NEW_ENVIRON USER começando com -f

Desenvolvimento e Testes

Laboratório Docker

O diretório lab/ incluído fornece um ambiente de teste seguro e reproduzível:

Recursos do laboratório:

• GNU InetUtils 2.5 compilado a partir do código-fonte (versões vulneráveis)
• Executa telnetd dentro de um contêiner isolado
• Vinculado apenas ao localhost:2323 – seguro para desenvolvimento
• Inclui um usuário de teste (labuser:labpass123) para depuração

Pare o laboratório quando terminar:

Limitações Conhecidas

• O teste de estouro (CVE-2026-32746) pode derrubar o serviço telnetd alvo
• As teclas de seta e redimensionamento do terminal não são totalmente suportadas no shell interativo
• Alguns firewalls ou configurações de rede podem interferir na negociação de opções Telnet
• Usuários Windows: o shell interativo requer um terminal do tipo Unix (WSL, Cygwin ou Linux/macOS)

Agradecimentos

Agradecimentos especiais a @leetcrypt – O handshake adequado de 6 etapas, thread de keepalive, modo detalhado e laboratório Docker estão matando!

AVISO: apenas para testes de segurança autorizados e fins educacionais.