CVE-2026-24061

CVE-2026-24061 - Bypass de Autenticação por Injeção de Argumento no telnetd do GNU InetUtils

As versões 1.9.3 a 2.7 do GNU InetUtils são vulneráveis a uma vulnerabilidade remota de bypass de autenticação no servidor telnetd. O daemon telnetd não sanitiza adequadamente a variável de ambiente USER antes de passá-la como argumento de linha de comando para o programa login(1). Quando um cliente telnet envia uma variável de ambiente USER contendo flags de linha de comando (como -f root), o telnetd passa diretamente esse valor não sanitizado para o programa login. O utilitário login interpreta a flag -f como uma instrução para ignorar a autenticação, permitindo que um invasor obtenha acesso root não autorizado sem fornecer nenhuma credencial.

Funcionalidades

• Implementação Completa do Protocolo Telnet

  • Gerencia negociações DO, DONT, WILL e WONT.
  • Suporta análise de subnegociação e mecanismos de keepalive.

• Injeção Automática de Payload

  • Constrói e envia o payload da opção ENVIRON especialmente criado com a injeção USER=-f root.

• Shell Interativo

  • Fornece uma sessão interativa bidirecional para execução de comandos.

• Gerenciamento de Conexão

  • Implementa keepalive de socket, tratamento de timeout e limpeza graciosa de sessão.

• Debug Detalhado

  • Saída de debug opcional para análise de protocolo e solução de problemas.

Uso

python3 exploit.py <target> -p <port> [options]

Argumentos Obrigatórios

Argumentos Opcionais

Exemplos

Explorar a porta Telnet padrão

python3 exploit.py 192.168.1.100

Explorar uma porta personalizada com saída detalhada

python3 exploit.py 192.168.1.100 -p 2323 -v

Usar um intervalo de keepalive estendido para conexões instáveis

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

Fluxo de Trabalho do Exploit

1. Estabelecimento de Conexão

   • Inicia uma conexão TCP com opções de socket e configurações de keepalive apropriadas.

2. Negociação de Protocolo

   • Gerencia a negociação de opções Telnet (SGA, ECHO e ENVIRON).

3. Entrega do Payload

   • Envia WILL ENVIRON seguido pelo payload de subnegociação criado.

4. Bypass de Autenticação

   • O argumento -f root é injetado no login(1) para ignorar as verificações de credenciais.

5. Sessão Interativa

   • Fornece acesso completo bidirecional ao shell com execução de comandos em tempo real.

Detalhes Técnicos

O exploit aproveita a opção Telnet ENVIRON (RFC 1572) para injetar argumentos de linha de comando na variável de ambiente USER.

Quando o telnetd passa esse valor não sanitizado para login -f root, o programa login interpreta -f como uma flag que força o bypass de autenticação, concedendo acesso root sem verificação de senha.

Manipulação de Protocolo

O script do exploit implementa:

• Escape de bytes IAC (Interpretar como Comando)
• Análise e construção de subnegociação
• Respostas de negociação de opções (WILL, WONT, DO, DONT)
• Comandos keepalive NOP para manter a estabilidade da sessão

Exemplo de Saída

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

Requisitos

• Python 3.7 ou superior
• Nenhuma dependência externa
• Usa apenas a biblioteca padrão do Python

Detecção e Mitigação

Administradores de sistema podem detectar tentativas de exploração monitorando:

• Conexões Telnet realizando negociação da opção ENVIRON.
• Variáveis de ambiente USER contendo -f ou outras flags de linha de comando.
• Eventos de bypass de autenticação nos logs do sistema.

Mitigação

Atualize para a versão 2.8 do GNU InetUtils ou aplique o patch de segurança oficial que sanitiza as variáveis de ambiente antes de passá-las para o login(1).

Aviso Legal

Esta prova de conceito destina-se apenas a pesquisa de segurança, validação de vulnerabilidades e ambientes de teste autorizados. Use apenas em sistemas para os quais você tenha permissão explícita para realizar avaliações de segurança.