CVE-2026-24061-payload

CVE-2026-24061 - Bypass de Autenticação por Injeção de Argumentos no telnetd do GNU InetUtils

As versões 1.9.3 a 2.7 do GNU InetUtils são vulneráveis a uma falha remota de bypass de autenticação no servidor telnetd. O daemon telnetd não sanitiza adequadamente a variável de ambiente USER antes de passá-la como argumento de linha de comando para o programa login(1). Quando um cliente telnet envia uma variável de ambiente USER contendo flags de linha de comando (como -f root), o telnetd passa diretamente esse valor não sanitizado para o programa login. O utilitário login interpreta a flag -f como uma instrução para ignorar a autenticação, permitindo que um atacante obtenha acesso root não autorizado sem fornecer nenhuma credencial.

---

Recursos

• Implementação Completa do Protocolo Telnet

  • Gerencia as negociações DO, DONT, WILL e WONT.
  • Suporta análise de subnegociação e mecanismos de keepalive.

• Injeção Automática de Payload

  • Constrói e envia o payload da opção ENVIRON com a injeção USER=-f root.

• Shell Interativo

  • Fornece uma sessão interativa bidirecional para execução de comandos.

• Gerenciamento de Conexão

  • Implementa keepalive de socket, tratamento de timeout e limpeza graciosa da sessão.

• Depuração Detalhada

  • Saída de depuração opcional para análise de protocolo e solução de problemas.

---

Uso

python3 exploit.py <alvo> -p <porta> [opções]

Argumentos Obrigatórios

Argumento	Descrição
target	Endereço IP ou nome de host do alvo

Argumentos Opcionais

Opção	Descrição
-p, --port	Porta do alvo (padrão: 23)
-v, --verbose	Ativa saída de depuração detalhada
-t, --timeout	Timeout de conexão em segundos (padrão: 5)
-k, --keepalive	Intervalo de keepalive em segundos (padrão: 30)
-h, --help	Exibe a mensagem de ajuda

---

Exemplos

Explorar a porta Telnet padrão

python3 exploit.py 192.168.1.100

Explorar uma porta personalizada com saída detalhada

python3 exploit.py 192.168.1.100 -p 2323 -v

Usar um intervalo de keepalive estendido para conexões instáveis

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

---

Fluxo de Trabalho do Exploit

1. Estabelecimento da Conexão

   • Inicia uma conexão TCP com opções de socket e configurações de keepalive apropriadas.

2. Negociação do Protocolo

   • Gerencia a negociação de opções Telnet (SGA, ECHO e ENVIRON).

3. Entrega do Payload

   • Envia WILL ENVIRON seguido do payload de subnegociação elaborado.

4. Bypass de Autenticação

   • O argumento -f root é injetado em login(1) para ignorar as verificações de credenciais.

5. Sessão Interativa

   • Fornece acesso completo ao shell bidirecional com execução de comandos em tempo real.

---

Detalhes Técnicos

O exploit aproveita a opção Telnet ENVIRON (RFC 1572) para injetar argumentos de linha de comando na variável de ambiente USER.

Quando o telnetd passa esse valor não sanitizado para login -f root, o programa login interpreta -f como uma flag que força o bypass de autenticação, concedendo acesso root sem verificação de senha.

Tratamento do Protocolo

O script do exploit implementa:

• Escape de bytes IAC (Interpret As Command)
• Análise e construção de subnegociação
• Respostas de negociação de opções (WILL, WONT, DO, DONT)
• Comandos NOP de keepalive para manter a estabilidade da sessão

---

Exemplo de Saída

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

---

Requisitos

• Python 3.7 ou posterior
• Sem dependências externas
• Usa apenas a biblioteca padrão do Python

---

Detecção e Mitigação

Administradores de sistemas podem detectar tentativas de exploração monitorando:

• Conexões Telnet realizando negociação da opção ENVIRON.
• Variáveis de ambiente USER contendo -f ou outras flags de linha de comando.
• Eventos de bypass de autenticação nos logs do sistema.

Mitigação

Atualize para a versão 2.8 do GNU InetUtils ou aplique o patch de segurança oficial que sanitiza as variáveis de ambiente antes de passá-las para login(1).

---

Aviso Legal

Esta prova de conceito destina-se exclusivamente a pesquisa de segurança, validação de vulnerabilidades e ambientes de teste autorizados. Use apenas contra sistemas para os quais você tenha permissão explícita para realizar avaliações de segurança.