CVE-2026-24061-payload

CVE-2026-24061 - GNU InetUtils telnetd 参数注入认证绕过

GNU InetUtils 1.9.3 至 2.7 版本中的 telnetd 服务器存在远程认证绕过漏洞。telnetd 守护进程在将 USER 环境变量作为命令行参数传递给 login(1) 程序之前，未能正确清理该变量。当 telnet 客户端发送包含命令行标志（如 -f root）的 USER 环境变量时，telnetd 会直接将该未清理的值传递给 login 程序。login 工具会将 -f 标志解释为绕过认证的指令，从而允许攻击者在无需提供任何凭据的情况下获得未经授权的 root 访问权限。

功能特性

• 完整的 Telnet 协议实现

  • 处理 DO、DONT、WILL 和 WONT 协商。
  • 支持子协商解析和保活机制。

• 自动载荷注入

  • 构造并发送带有 USER=-f root 注入的精心设计的 ENVIRON 选项载荷。

• 交互式 Shell

  • 提供用于命令执行的双向交互式会话。

• 连接管理

  • 实现套接字保活、超时处理和优雅的会话清理。

• 详细调试

  • 可选的调试输出，用于协议分析和故障排查。

使用方法

python3 exploit.py <target> -p <port> [options]

必需参数

可选参数

示例

利用默认 Telnet 端口

python3 exploit.py 192.168.1.100

利用自定义端口并启用详细输出

python3 exploit.py 192.168.1.100 -p 2323 -v

对不稳定连接使用更长的保活间隔

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

利用流程

1. 建立连接

   • 使用适当的套接字选项和保活设置发起 TCP 连接。

2. 协议协商

   • 处理 Telnet 选项协商（SGA、ECHO 和 ENVIRON）。

3. 载荷投递

   • 发送 WILL ENVIRON，随后发送精心构造的子协商载荷。

4. 认证绕过

   • 将 -f root 参数注入 login(1) 以绕过凭据检查。

5. 交互式会话

   • 提供完整的双向 shell 访问，支持实时命令执行。

技术细节

该漏洞利用 Telnet 的 ENVIRON 选项（RFC 1572）将命令行参数注入 USER 环境变量。

当 telnetd 将该未清理的值传递给 login -f root 时，login 程序会将 -f 解释为强制绕过认证的标志，从而在无需密码验证的情况下授予 root 访问权限。

协议处理

该漏洞利用脚本实现了：

• IAC（解释为命令）字节转义
• 子协商解析和构造
• 选项协商响应（WILL、WONT、DO、DONT）
• 用于维持会话稳定性的保活 NOP 命令

示例输出

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

环境要求

• Python 3.7 或更高版本
• 无外部依赖
• 仅使用 Python 标准库

检测与缓解

系统管理员可以通过监控以下内容来检测利用尝试：

• 执行 ENVIRON 选项协商的 Telnet 连接。
• 包含 -f 或其他命令行标志的 USER 环境变量。
• 系统日志中的认证绕过事件。

缓解措施

升级到 GNU InetUtils 版本 2.8，或应用官方安全补丁，该补丁会在将环境变量传递给 login(1) 之前对其进行清理。

免责声明

此概念验证仅用于安全研究、漏洞验证和授权测试环境。仅可针对您拥有明确授权执行安全评估的系统使用。