CVE-2026-24061

Em sistemas onde login aceita a flag -f (forçar login sem verificação de senha), isso resulta em uma sessão root não autenticada sendo concedida ao atacante remoto.

Esta classe de vulnerabilidade tem precedente histórico: CVE-2001-0797 no SysV telnetd e o conhecido bypass -f do telnetd Linux de 1994 exploraram a mesma falha fundamental de não sanitizar argumentos originados de variáveis de ambiente passados para binários privilegiados.

Nenhuma credencial necessária. Nenhum acesso prévio necessário. Uma única sequência de pacotes de rede alcança root.

Análise Técnica

Causa Raiz

O telnetd do GNU InetUtils processa a sub-negociação NEW-ENVIRON (código de opção 0x27, conforme RFC 1572) para coletar variáveis de ambiente fornecidas pelo cliente. Essas variáveis são montadas em um vetor de argumentos e passadas para execve(2) ao iniciar o login(1).

A vulnerabilidade é acionada da seguinte forma:

1. O servidor envia IAC DO NEW-ENVIRON, solicitando variáveis de ambiente do cliente.
2. O cliente malicioso responde com IAC WILL NEW-ENVIRON.
3. O servidor segue com IAC SB NEW-ENVIRON SEND IAC SE.
4. O cliente envia o payload injetado:

5. O telnetd constrói a invocação do login como login -f root.
6. O login(1) interpreta -f como "forçar login, pular autenticação" e autentica o usuário especificado (root) sem exigir senha.

Detalhamento em Nível de Protocolo

Por Que -f root Funciona

O binário login(1) em muitos sistemas Linux aceita a flag -f <usuário> para logins "pré-autenticados", historicamente usada por multiplexadores de terminal e rlogin. Quando o telnetd constrói sua chamada exec e falha em remover hífens iniciais ou validar strings semelhantes a opções nos valores de variáveis de ambiente, ele inadvertidamente passa flags controladas pelo atacante diretamente para o login.

A chamada efetiva se torna:

Cenário de Ataque

Pré-requisitos:

• Sistema alvo executando telnetd do GNU InetUtils (TCP/23 aberto)
• Versão não corrigida do inetutils
• Binário login(1) suporta a flag -f (padrão na maioria das distribuições Linux)
• Nenhum firewall bloqueando TCP/23

Versões Afetadas

Verifique se sua distribuição distribui uma versão corrigida. Muitos sistemas modernos têm Telnet desabilitado por padrão; a exposição requer um telnetd explicitamente em execução.

Pontuação CVSS

Mapeamento MITRE ATT&CK

Instalação

Requisitos: Python 3 (apenas biblioteca padrão, zero dependências externas).

Nenhum pip install necessário. Ambos os scripts usam apenas a biblioteca padrão do Python.

Estrutura do Projeto

• poc_cve_2026_24061.py: Mínimo, legível, educacional. Um alvo, uma função, zero abstração. Leia isto para entender exatamente como a vulnerabilidade funciona no nível do protocolo.
• cve_2026_24061.py: Exploit industrializado para engajamentos de pentest. Multithread, suporta faixas CIDR, entrada de arquivo, exportação CSV/JSON, modo silencioso, usuários personalizados.

Uso

PoC Simples (poc_cve_2026_24061.py)

Explora um único host. O código é deliberadamente mínimo para que você possa lê-lo de ponta a ponta e entender toda a cadeia de ataque.

Exploit Industrializado (cve_2026_24061.py)

Host Único

Faixa CIDR (Varredura em Massa)

Entrada de Arquivo

Exportação JSON

Usuário Alvo Personalizado

Modo Silencioso (compatível com pipes)

Opções Completas

Status de Saída

Colunas de saída CSV: ip:port, status, message

Comportamento do PoC

O script implementa a máquina de estados completa da negociação Telnet NEW-ENVIRON nativamente em Python, sem depender de bibliotecas Telnet externas:

1. Abre um socket TCP bruto para o alvo na porta 23 (configurável).
2. Lê sequências de comandos IAC recebidas e responde ao DO NEW-ENVIRON com WILL NEW-ENVIRON.
3. Ao receber a sub-negociação SB NEW-ENVIRON SEND do servidor, transmite o payload injetado (USER = "-f root").
4. Monitora o buffer de resposta em busca de indicadores de login root bem-sucedido: presença de uid=0(root) ou um prompt de shell (#), na ausência de Login incorrect ou Password:.
5. Se o payload foi injetado, envia id\n e verifica uid=0(root) na resposta como confirmação secundária.

Os resultados são registrados no stdout com rótulos de status coloridos. A exportação CSV opcional registra todas as descobertas para pós-processamento.

Remediação e Mitigação

Ações Imediatas

1. Desabilite o Telnet completamente. O Telnet transmite todos os dados em texto claro. Substitua por SSH.

   root@kitploit:~

   sudo systemctl disable telnet.socket --now
   sudo systemctl disable inetd --now
   

2. Aplique o patch do fornecedor. Instale a versão corrigida do inetutils da sua distribuição assim que disponível.

3. Bloqueie TCP/23 no perímetro. Aplique regras de firewall para negar conexões Telnet de entrada.

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   # nftables
   sudo nft add rule inet filter input tcp dport 23 drop
   

Defesa em Profundidade

Detecção (SIEM/IDS)

Estrutura de regra Snort/Suricata para detectar o exploit em trânsito:

Inteligência de Ameaças

Este repositório fornece artefatos de inteligência de ameaças pré-gerados, prontos para importação em sua pilha SOC/CTI. Eles são gerados automaticamente por CI a partir do payload real do exploit - se o payload mudar, os artefatos são atualizados.

MISP

Importe indicators/misp_event.json diretamente em qualquer instância MISP:

O evento contém: ID CVE, vetor CVSS, assinatura Snort, hex do payload, tags MITRE ATT&CK (T1190, T1548, T1059), CPE e referências externas.

STIX 2.1

Importe indicators/stix_bundle.json no OpenCTI, servidores TAXII ou qualquer consumidor STIX 2.1.

O bundle contém 11 objetos: Vulnerabilidade, Indicador (padrão de rede), 3 Padrões de Ataque (MITRE), Curso de Ação (remediação), Identidade e Relacionamentos vinculando-os.

Assinaturas IDS

Regras pré-construídas em signatures/:

• snort.rules - 3 regras Snort/Suricata (tentativa de exploit, injeção genérica -f, shell root pós-exploração)
• sigma.yml - Regra Sigma para correlação SIEM

Regenerar

Se você modificar o payload do exploit, regenere todos os artefatos:

Referências: MISP - OpenCTI - STIX 2.1 - Sigma

Referências

• Repositório Oficial GNU InetUtils
• RFC 1572 - Opção de Ambiente Telnet (NEW-ENVIRON)
• RFC 854 - Especificação do Protocolo Telnet
• CVE-2001-0797 - Bypass histórico SysV telnetd -f (precedente)
• MITRE ATT&CK - T1190: Explorar Aplicação Exposta ao Público
• MITRE ATT&CK - T1548: Abusar Mecanismo de Controle de Elevação
• Projeto MISP
• Página de manual do Linux login(1)

Aviso Legal

Esta ferramenta é fornecida apenas para auditoria de segurança autorizada, pesquisa acadêmica e fins educacionais. O uso contra sistemas sem permissão escrita explícita do proprietário do sistema é ilegal sob as leis aplicáveis de fraude e abuso de computadores (incluindo, mas não se limitando a, CFAA, Computer Misuse Act e legislação equivalente). O autor não aceita responsabilidade por uso não autorizado ou malicioso.