CVE-2026-24061 - GNU InetUtils telnetd Argument Injection Authentication Bypass

GNU InetUtils версии с 1.9.3 по 2.7 уязвимы для удалённого обхода аутентификации в сервере telnetd. Демон telnetd не выполняет надлежащую санитизацию переменной окружения USER перед передачей её в качестве аргумента командной строки программе login(1). Когда telnet-клиент отправляет переменную окружения USER, содержащую флаги командной строки (например, -f root), telnetd напрямую передаёт это несанитизированное значение программе login. Утилита login интерпретирует флаг -f как инструкцию для обхода аутентификации, позволяя атакующему получить несанкционированный root-доступ без ввода каких-либо учётных данных.

Возможности

Полная реализация Telnet-протокола
- Обрабатывает согласования DO, DONT, WILL и WONT.
- Поддерживает разбор субсогласований и механизмы keepalive.
Автоматическая инъекция полезной нагрузки
- Формирует и отправляет сконструированную полезную нагрузку опции ENVIRON с инъекцией USER=-f root.
Интерактивная оболочка
- Обеспечивает двунаправленную интерактивную сессию для выполнения команд.
Управление соединением
- Реализует socket keepalive, обработку тайм-аутов и корректную очистку сессии.
Подробная отладка
- Опциональный вывод отладочной информации для анализа протокола и устранения неполадок.

Использование

python3 exploit.py <target> -p <port> [options]

Обязательные аргументы

Аргумент	Описание
`target`	IP-адрес или имя хоста цели

Необязательные аргументы

Опция	Описание
`-p`, `--port`	Порт цели (по умолчанию: `23`)
`-v`, `--verbose`	Включить подробный вывод отладочной информации
`-t`, `--timeout`	Тайм-аут соединения в секундах (по умолчанию: `5`)
`-k`, `--keepalive`	Интервал keepalive в секундах (по умолчанию: `30`)
`-h`, `--help`	Показать справочное сообщение

Примеры

Эксплуатация порта Telnet по умолчанию

python3 exploit.py 192.168.1.100

Эксплуатация нестандартного порта с подробным выводом

python3 exploit.py 192.168.1.100 -p 2323 -v

Использование увеличенного интервала keepalive для нестабильных соединений

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

Порядок эксплуатации

Установление соединения
- Инициирует TCP-соединение с соответствующими параметрами сокета и настройками keepalive.
Согласование протокола
- Обрабатывает согласование Telnet-опций (SGA, ECHO и ENVIRON).
Доставка полезной нагрузки
- Отправляет WILL ENVIRON с последующей сконструированной полезной нагрузкой субсогласования.
Обход аутентификации
- Аргумент -f root инъецируется в login(1) для обхода проверки учётных данных.
Интерактивная сессия
- Обеспечивает полный двунаправленный доступ к оболочке с выполнением команд в реальном времени.

Технические детали

Эксплойт использует Telnet-опцию ENVIRON (RFC 1572) для инъекции аргументов командной строки в переменную окружения USER.

Когда telnetd передаёт это несанитизированное значение в login -f root, программа login интерпретирует -f как флаг, принудительно выполняющий обход аутентификации, предоставляя root-доступ без проверки пароля.

Обработка протокола

Скрипт эксплойта реализует:

Экранирование байтов IAC (Interpret As Command)
Разбор и формирование субсогласований
Ответы на согласование опций (WILL, WONT, DO, DONT)
Команды keepalive NOP для поддержания стабильности сессии

Пример вывода

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

Требования

Python 3.7 или новее
Без внешних зависимостей
Используется только стандартная библиотека Python

Обнаружение и смягчение последствий

Системные администраторы могут обнаружить попытки эксплуатации, отслеживая:

Telnet-соединения, выполняющие согласование опции ENVIRON.
Переменные окружения USER, содержащие -f или другие флаги командной строки.
События обхода аутентификации в системных журналах.

Смягчение последствий

Обновитесь до версии GNU InetUtils 2.8 или примените официальный патч безопасности, который выполняет санитизацию переменных окружения перед передачей их в login(1).

Отказ от ответственности

Эта proof of concept предназначена только для исследований в области безопасности, проверки уязвимостей и авторизованных тестовых сред. Используйте только против систем, для которых у вас есть явное разрешение на проведение оценки безопасности.

CVE-2026-24061-payload

Популярное