Во время согласования сеанса telnetd поддерживает Telnet-опцию NEW_ENVIRON, которая позволяет клиенту передавать серверу переменные окружения, такие как USER. Затем демон подставляет это значение непосредственно в список аргументов, используемый для вызова /usr/bin/login.

Поскольку не проверяется, что значение содержит только допустимые символы имени пользователя, клиент может передать строку, начинающуюся с дефиса (-). Вместо того чтобы быть воспринятой как имя пользователя, она интерпретируется login как флаг командной строки. В зависимости от реализации login это может позволить такие действия, как пропуск аутентификации по паролю (например, через флаг -f «уже аутентифицирован»), что приводит к несанкционированному доступу.

Доказательство концепции

Задайте переменной окружения USER значение, содержащее флаг опции, перед подключением:

Если цель уязвима, login интерпретирует -f root как указание аутентифицироваться как root без пароля, а не как буквальное имя пользователя.

Обнаружение

Проверьте установленную версию пакета:

Debian / Ubuntu:

RHEL / CentOS:

Устранение

• Обновите до исправленной версии GNU InetUtils, в которой telnetd отклоняет или отбрасывает любое значение USER, начинающееся с -, перед передачей его в login.
• Отключите telnet полностью в пользу SSH, где это возможно — Telnet передаёт учётные данные и данные в открытом виде независимо от данной проблемы.
• Если telnet всё же должен использоваться, ограничьте доступ с помощью правил межсетевого экрана / VPN и отслеживайте в журналах аутентификации аномальное использование флагов при входе в систему.