CVE-2026-28372 — Повышение привилегий в GNU inetutils telnetd — PoC

👤 Автор

Mohammed Idrees Banyamer
Иордания 🇯🇴
Instagram: @banyamer_security

Исследователь безопасности | Наступательная безопасность | Разработка эксплойтов

🧨 Название эксплойта

CVE‑2026‑28372 — Повышение привилегий в GNU inetutils telnetd через CREDENTIALS_DIRECTORY + login.noauth

📌 Обзор

Данный Proof‑of‑Concept демонстрирует уязвимость локального повышения привилегий в GNU inetutils telnetd.

telnetd некорректно передаёт управляемые клиентом переменные окружения в login(1).
Установив:

CREDENTIALS_DIRECTORY=<каталог атакующего>

и разместив:

login.noauth = yes

аутентификация обходится, что потенциально даёт root-оболочку без пароля.

⚠️ Детали уязвимости

• CVE: CVE-2026-28372
• Затронутое ПО: GNU inetutils telnetd ≤ 2.7
• Условие: версия util-linux, поддерживающая login.noauth
• Тип атаки: Локальное повышение привилегий
• CVSS: 7.4 HIGH
• CWE: CWE‑829

🎯 Затронутые системы

• Linux-системы, работающие с:
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Производные Ubuntu / Debian (протестировано)

🔬 Механизм эксплойта

Корневая причина

Проблема доверия к переменным окружения в цепочке telnetd → login(1).

Цепочка атаки

1. Атакующий создаёт контролируемый каталог
2. Размещает файл login.noauth со значением yes
3. Внедряет переменные окружения через опцию Telnet NEW‑ENVIRON
4. login считывает контролируемый атакующим каталог учётных данных
5. Обход аутентификации → root-оболочка

🧭 Схема потока PoC

flowchart TD

A[Непривилегированный пользователь] --> B[Создание поддельного каталога учётных данных]
B --> C[Размещение login.noauth = yes]
C --> D[Подключение к telnetd]
D --> E[Внедрение переменных окружения]
E --> F[Установка CREDENTIALS_DIRECTORY]
F --> G[telnetd вызывает login]
G --> H[login считывает login.noauth]
H --> I[Обход аутентификации]
I --> J[Получена root-оболочка]

▶️ Использование

Требования

• Python 3
• Запущенная служба telnetd
• Локальный доступ

Запуск PoC

python3 cve-2026-28372.py

Необязательные параметры:

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 Шаги эксплойта, выполняемые автоматически

✔ Создание контролируемого атакующим каталога учётных данных ✔ Генерация файла обхода login.noauth ✔ Подключение к telnetd ✔ Внедрение вредоносных переменных окружения ✔ Попытка обхода аутентификации

🛡️ Смягчение последствий

Немедленное исправление

• Применить патчи после inetutils 2.7
• Очищать переменные окружения
• Сбрасывать опасные переменные:

unsetenv("CREDENTIALS_DIRECTORY")

Рекомендации

• Отключить службу telnet
• Использовать SSH вместо него
• Ограничить локальные службы
• Отслеживать внедрение переменных окружения

📚 Технические примечания

• Требуется доступ на запись в локальную файловую систему
• telnetd должен запускать /bin/login или /usr/bin/login
• Реальная эксплуатация зависит от доступности службы

⚖️ Отказ от ответственности

Данный PoC предоставлен для:

• Исследований в области безопасности
• Защитных целей
• Только авторизованных тестовых сред

Несанкционированное использование запрещено.

⭐ Благодарности

PoC исследован:

Mohammed Idrees Banyamer banyamer_security