CVE-2026-24061

在 login 接受 -f 标志（强制登录，无需密码验证）的系统上，这将导致远程攻击者获得未认证的 root 会话。

此类漏洞具有历史先例：SysV telnetd 中的 CVE-2001-0797 以及 1994 年著名的 Linux telnetd -f 绕过漏洞，均利用了相同的根本性缺陷——未能净化通过环境变量传递给特权二进制文件的参数。

无需任何凭据。无需任何先前访问权限。单个网络数据包序列即可获得 root 权限。

技术分析

根本原因

GNU InetUtils telnetd 处理 NEW-ENVIRON（选项代码 0x27，依据 RFC 1572）子协商以收集客户端提供的环境变量。这些变量被组装成参数向量，并在生成 login(1) 进程时传递给 execve(2)。

该漏洞的触发过程如下：

1. 服务器发送 IAC DO NEW-ENVIRON，向客户端请求环境变量。
2. 恶意客户端回复 IAC WILL NEW-ENVIRON。
3. 服务器随后发送 IAC SB NEW-ENVIRON SEND IAC SE。
4. 客户端发送注入的载荷：

5. telnetd 构造 login 调用为 login -f root。
6. login(1) 将 -f 解释为"强制登录，跳过认证"，并以指定用户（root）身份登录，无需密码。

协议层分解

为什么 -f root 有效

许多 Linux 系统上的 login(1) 二进制文件接受 -f <user> 标志用于"预认证"登录，历史上被终端多路复用器和 rlogin 使用。当 telnetd 构建其 exec 调用时，未能去除前导连字符或验证环境变量值中类似选项的字符串，从而无意中将攻击者控制的标志直接传递给 login。

实际调用变为：

攻击场景

前提条件：

• 目标系统运行 GNU InetUtils telnetd（TCP/23 开放）
• 未打补丁的 inetutils 版本
• login(1) 二进制文件支持 -f 标志（大多数 Linux 发行版的标准配置）
• 防火墙未阻止 TCP/23

受影响版本

请验证您的发行版是否提供了已打补丁的版本。许多现代系统默认禁用 Telnet；暴露风险要求显式运行 telnetd。

CVSS 评分

MITRE ATT&CK 映射

安装

要求： Python 3（仅标准库，零外部依赖）。

无需 pip install。两个脚本仅使用 Python 标准库。

项目结构

• poc_cve_2026_24061.py：最小化、可读、教育性。单个目标、单个函数、零抽象。阅读此文件以准确理解漏洞在协议层面的工作原理。
• cve_2026_24061.py：用于渗透测试的工业化利用工具。多线程，支持 CIDR 范围、文件输入、CSV/JSON 导出、静默模式、自定义用户。

使用方法

简单 PoC（poc_cve_2026_24061.py）

利用单个主机。代码刻意保持最小化，以便您可以从头到尾阅读并理解完整的攻击链。

工业化利用工具（cve_2026_24061.py）

单个主机

CIDR 范围（大规模扫描）

文件输入

JSON 导出

自定义目标用户

静默模式（适合管道处理）

完整选项

输出状态

CSV 输出列：ip:port, status, message

PoC 行为

该脚本使用 Python 原生实现完整的 Telnet NEW-ENVIRON 协商状态机，不依赖外部 Telnet 库：

1. 打开到目标端口 23（可配置）的原始 TCP 套接字。
2. 读取传入的 IAC 命令序列，并以 WILL NEW-ENVIRON 响应 DO NEW-ENVIRON。
3. 收到服务器的 SB NEW-ENVIRON SEND 子协商后，发送注入的载荷（USER = "-f root"）。
4. 监控响应缓冲区以查找成功 root 登录的迹象：在不存在 Login incorrect 或 Password: 的情况下，出现 uid=0(root) 或 shell 提示符（#）。
5. 如果载荷已注入，发送 id\n 并检查响应中是否包含 uid=0(root) 作为二次确认。

结果以彩色状态标签输出到标准输出。可选的 CSV 导出记录所有发现以供后续处理。

修复与缓解

立即行动

1. 完全禁用 Telnet。 Telnet 以明文传输所有数据。请改用 SSH。

   root@kitploit:~

   sudo systemctl disable telnet.socket --now
   sudo systemctl disable inetd --now
   

2. 应用供应商补丁。 一旦可用，请从您的发行版安装已打补丁的 inetutils 版本。

3. 在外围阻止 TCP/23。 应用防火墙规则以拒绝入站 Telnet 连接。

   root@kitploit:~

   # iptables
   sudo iptables -A INPUT -p tcp --dport 23 -j DROP
   # nftables
   sudo nft add rule inet filter input tcp dport 23 drop
   

纵深防御

检测（SIEM/IDS）

用于检测传输中利用行为的 Snort/Suricata 规则框架：

威胁情报

此仓库附带预生成的威胁情报工件，可直接导入您的 SOC/CTI 技术栈。它们由 CI 根据实际利用载荷自动生成——如果载荷发生变化，工件也会随之更新。

MISP

将 indicators/misp_event.json 直接导入任何 MISP 实例：

该事件包含：CVE ID、CVSS 向量、Snort 签名、载荷十六进制、MITRE ATT&CK 标签（T1190、T1548、T1059）、CPE 和外部参考。

STIX 2.1

将 indicators/stix_bundle.json 导入 OpenCTI、TAXII 服务器或任何 STIX 2.1 消费者。

该包包含 11 个对象：漏洞、指标（网络模式）、3 个攻击模式（MITRE）、行动方案（修复）、身份以及连接它们的关联关系。

IDS 签名

signatures/ 中的预构建规则：

• snort.rules - 3 条 Snort/Suricata 规则（利用尝试、通用 -f 注入、利用后 root shell）
• sigma.yml - 用于 SIEM 关联的 Sigma 规则

重新生成

如果您修改了利用载荷，请重新生成所有工件：

参考资料：MISP - OpenCTI - STIX 2.1 - Sigma

参考资料

• GNU InetUtils 官方仓库
• RFC 1572 - Telnet 环境选项（NEW-ENVIRON）
• RFC 854 - Telnet 协议规范
• CVE-2001-0797 - 历史 SysV telnetd -f 绕过（先例）
• MITRE ATT&CK - T1190：利用面向公众的应用程序
• MITRE ATT&CK - T1548：滥用权限提升控制机制
• MISP 项目
• Linux login(1) 手册页

法律免责声明

本工具仅供授权安全审计、学术研究和教育目的使用。未经系统所有者明确书面许可而对系统进行使用，将违反适用的计算机欺诈和滥用法律（包括但不限于 CFAA、计算机滥用法及同等法律）。作者对未经授权或恶意使用不承担任何责任。