CVE-2026-28372 — PoC de Escalação de Privilégios no telnetd do GNU inetutils

👤 Autor

Mohammed Idrees Banyamer
Jordânia 🇯🇴
Instagram: @banyamer_security

Pesquisador de Segurança | Segurança Ofensiva | Desenvolvimento de Exploits

🧨 Título do Exploit

CVE‑2026‑28372 — Escalação de Privilégios no telnetd do GNU inetutils via CREDENTIALS_DIRECTORY + login.noauth

📌 Visão Geral

Esta Prova‑de‑Conceito demonstra uma vulnerabilidade de Escalação Local de Privilégios no telnetd do GNU inetutils.

O telnetd repassa incorretamente variáveis de ambiente controladas pelo cliente para o login(1).
Ao definir:

CREDENTIALS_DIRECTORY=<diretório do atacante>

e colocar:

login.noauth = yes

a autenticação é contornada, potencialmente concedendo um shell root sem senha.

⚠️ Detalhes da Vulnerabilidade

• CVE: CVE-2026-28372
• Software Afetado: GNU inetutils telnetd ≤ 2.7
• Condição: versão do util-linux que suporta login.noauth
• Tipo de Ataque: Escalação Local de Privilégios
• CVSS: 7.4 ALTA
• CWE: CWE‑829

🎯 Sistemas Afetados

• Sistemas Linux executando:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Derivados do Ubuntu / Debian (testados)

🔬 Mecanismo do Exploit

Causa Raiz

Problema de confiança nas variáveis de ambiente em telnetd → login(1).

Cadeia de Ataque

1. O atacante cria um diretório controlado
2. Coloca o arquivo login.noauth com o valor yes
3. Injeta variáveis de ambiente via opção NEW‑ENVIRON do Telnet
4. O login lê o diretório de credenciais controlado pelo atacante
5. Bypass de autenticação → shell root

🧭 Diagrama do Fluxo do PoC

flowchart TD

A[Usuário sem privilégios] --> B[Criar diretório de credenciais falso]
B --> C[Colocar login.noauth = yes]
C --> D[Conectar ao telnetd]
D --> E[Injetar variáveis de ambiente]
E --> F[Definir CREDENTIALS_DIRECTORY]
F --> G[telnetd chama login]
G --> H[login lê login.noauth]
H --> I[Bypass de autenticação]
I --> J[Shell root obtido]

▶️ Uso

Requisitos

• Python 3
• Serviço telnetd em execução
• Acesso local

Executar o PoC

python3 cve-2026-28372.py

Parâmetros opcionais:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 Etapas do Exploit Executadas Automaticamente

✔ Criar diretório de credenciais controlado pelo atacante ✔ Gerar arquivo de bypass login.noauth ✔ Conectar ao telnetd ✔ Injetar variáveis de ambiente maliciosas ✔ Tentar bypass de autenticação

🛡️ Mitigação

Correção Imediata

• Aplicar patches após o inetutils 2.7
• Sanitizar variáveis de ambiente
• Remover variáveis perigosas:

unsetenv("CREDENTIALS_DIRECTORY")

Recomendado

• Desativar o serviço telnet
• Usar SSH em vez disso
• Restringir serviços locais
• Monitorar injeção de variáveis de ambiente

📚 Notas Técnicas

• Requer acesso de escrita local em arquivos
• O telnetd deve iniciar /bin/login ou /usr/bin/login
• A exploração no mundo real depende da exposição do serviço

⚖️ Aviso Legal

Este PoC é fornecido para:

• Pesquisa de segurança
• Fins defensivos
• Apenas ambientes de teste autorizados

O uso não autorizado é proibido.

⭐ Créditos

PoC pesquisado por:

Mohammed Idrees Banyamer banyamer_security