CVE-2026-24061

В системах, где login принимает флаг -f (принудительный вход без проверки пароля), это приводит к предоставлению удалённому атакующему неаутентифицированной root-сессии.

Этот класс уязвимостей имеет исторический прецедент: CVE-2001-0797 в SysV telnetd и известный обход -f в Linux telnetd 1994 года эксплуатировали тот же фундаментальный недостаток — отсутствие санитизации аргументов, поступающих из окружения, перед передачей привилегированным бинарным файлам.

Учётные данные не требуются. Предварительный доступ не нужен. Одна последовательность сетевых пакетов даёт root.

Технический анализ

Корневая причина

telnetd из GNU InetUtils обрабатывает суб-согласование NEW-ENVIRON (код опции 0x27, согласно RFC 1572) для сбора переменных окружения, предоставленных клиентом. Эти переменные собираются в вектор аргументов и передаются в execve(2) при запуске login(1).

Уязвимость срабатывает следующим образом:

1. Сервер отправляет IAC DO NEW-ENVIRON, запрашивая переменные окружения у клиента.
2. Вредоносный клиент отвечает IAC WILL NEW-ENVIRON.
3. Сервер отправляет IAC SB NEW-ENVIRON SEND IAC SE.
4. Клиент отправляет инъекционную полезную нагрузку:

5. telnetd формирует вызов login как login -f root.
6. login(1) интерпретирует -f как «принудительный вход, пропустить аутентификацию» и выполняет вход указанного пользователя (root) без запроса пароля.

Разбор на уровне протокола

Почему -f root работает

Бинарный файл login(1) во многих системах Linux принимает флаг -f <user> для «предварительно аутентифицированных» входов, исторически использовавшийся терминальными мультиплексорами и rlogin. Когда telnetd формирует свой вызов exec и не удаляет ведущие дефисы или не проверяет строки, похожие на опции, в значениях переменных окружения, он непреднамеренно передаёт управляемые атакующим флаги напрямую в login.

Эффективный вызов становится:

Сценарий атаки

Предварительные условия:

• Целевая система запускает telnetd из GNU InetUtils (TCP/23 открыт)
• Незапатченная версия inetutils
• Бинарный файл login(1) поддерживает флаг -f (стандартно в большинстве дистрибутивов Linux)
• Брандмауэр не блокирует TCP/23

Затронутые версии

Проверьте, поставляет ли ваш дистрибутив запатченную версию. Во многих современных системах Telnet отключён по умолчанию; для эксплуатации требуется явно запущенный telnetd.

Оценка CVSS

Сопоставление с MITRE ATT&CK

Установка

Требования: Python 3 (только стандартная библиотека, ноль внешних зависимостей).

pip install не требуется. Оба скрипта используют только стандартную библиотеку Python.

Структура проекта

• poc_cve_2026_24061.py: Минимальный, читаемый, обучающий. Одна цель, одна функция, ноль абстракций. Прочитайте его, чтобы точно понять, как уязвимость работает на уровне протокола.
• cve_2026_24061.py: Промышленный эксплойт для пентест-задач. Многопоточный, поддерживает CIDR-диапазоны, ввод из файла, экспорт CSV/JSON, тихий режим, произвольных пользователей.

Использование

Простой PoC (poc_cve_2026_24061.py)

Эксплуатация одной цели. Код намеренно минимален, чтобы вы могли прочитать его от начала до конца и понять всю цепочку атаки.

Промышленный эксплойт (cve_2026_24061.py)

Одна цель

CIDR-диапазон (массовое сканирование)

Ввод из файла

Экспорт в JSON

Произвольный целевой пользователь

Тихий режим (для конвейеров)

Полный список опций

Статусы вывода

Столбцы CSV-вывода: ip:port, status, message

Поведение PoC

Скрипт реализует полный конечный автомат согласования Telnet NEW-ENVIRON нативно на Python, без использования внешних Telnet-библиотек:

1. Открывает сырой TCP-сокет к цели на порту 23 (настраивается).
2. Читает входящие последовательности команд IAC и отвечает на DO NEW-ENVIRON командой WILL NEW-ENVIRON.
3. При получении суб-согласования сервера SB NEW-ENVIRON SEND передаёт инъекционную полезную нагрузку (USER = "-f root").
4. Отслеживает буфер ответа на признаки успешного входа root: наличие uid=0(root) или приглашения оболочки (#) при отсутствии Login incorrect или Password:.
5. Если полезная нагрузка была инъектирована, отправляет id\n и проверяет наличие uid=0(root) в ответе как вторичное подтверждение.

Результаты выводятся в stdout с цветными статусными метками. Опциональный экспорт в CSV фиксирует все находки для последующей обработки.

Устранение и смягчение

Немедленные действия

1. Полностью отключите Telnet. Telnet передаёт все данные в открытом виде. Замените на SSH.

   root@kitploit:~

   sudo systemctl disable telnet.socket --now
   sudo systemctl disable inetd --now
   

2. Примените патч вендора. Установите запатченную версию inetutils из вашего дистрибутива, как только она станет доступна.

3. Заблокируйте TCP/23 на периметре. Примените правила брандмауэра для запрета входящих Telnet-соединений.

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   # nftables
   sudo nft add rule inet filter input tcp dport 23 drop
   

Эшелонированная защита

Обнаружение (SIEM/IDS)

Каркас правила Snort/Suricata для обнаружения эксплойта в трафике:

Threat Intelligence

Этот репозиторий поставляет предварительно сгенерированные артефакты threat intelligence, готовые к импорту в ваш стек SOC/CTI. Они автоматически генерируются CI из фактической полезной нагрузки эксплойта — если полезная нагрузка изменится, артефакты обновятся.

MISP

Импортируйте indicators/misp_event.json напрямую в любой экземпляр MISP:

Событие содержит: ID CVE, вектор CVSS, сигнатуру Snort, hex полезной нагрузки, теги MITRE ATT&CK (T1190, T1548, T1059), CPE и внешние ссылки.

STIX 2.1

Импортируйте indicators/stix_bundle.json в OpenCTI, серверы TAXII или любой потребитель STIX 2.1.

Пакет содержит 11 объектов: Vulnerability, Indicator (сетевой паттерн), 3 Attack Patterns (MITRE), Course of Action (устранение), Identity и связи между ними.

Сигнатуры IDS

Готовые правила в signatures/:

• snort.rules — 3 правила Snort/Suricata (попытка эксплойта, общая инъекция -f, root-оболочка после эксплуатации)
• sigma.yml — правило Sigma для корреляции в SIEM

Перегенерация

Если вы измените полезную нагрузку эксплойта, перегенерируйте все артефакты:

Ссылки: MISP - OpenCTI - STIX 2.1 - Sigma

Ссылки

• Официальный репозиторий GNU InetUtils
• RFC 1572 — Опция окружения Telnet (NEW-ENVIRON)
• RFC 854 — Спецификация протокола Telnet
• CVE-2001-0797 — Исторический обход -f в SysV telnetd (прецедент)
• MITRE ATT&CK — T1190: Эксплуатация публично доступного приложения
• MITRE ATT&CK — T1548: Злоупотребление механизмом контроля повышения привилегий
• Проект MISP
• Страница man Linux login(1)

Правовое уведомление

Этот инструмент предоставляется только для авторизованного аудита безопасности, академических исследований и образовательных целей. Использование против систем без явного письменного разрешения владельца системы незаконно в соответствии с применимыми законами о компьютерном мошенничестве и злоупотреблениях (включая, но не ограничиваясь, CFAA, Computer Misuse Act и эквивалентным законодательством). Автор не несёт ответственности за несанкционированное или вредоносное использование.