CVE-2026-24061

CVE-2026-24061 - GNU InetUtils telnetd 参数注入身份验证绕过

GNU InetUtils 版本 1.9.3 至 2.7 在 telnetd 服务器中存在一个远程身份验证绕过漏洞。telnetd 守护进程在将 USER 环境变量作为命令行参数传递给 login(1) 程序之前，未能正确对其进行清理。当 telnet 客户端发送包含命令行标志（如 -f root）的 USER 环境变量时，telnetd 会直接将该未清理的值传递给 login 程序。login 工具将 -f 标志解释为绕过身份验证的指令，从而使攻击者能够在无需提供任何凭据的情况下获得未经授权的 root 访问权限。

功能特性

• 完整的 Telnet 协议实现

  • 处理 DO、DONT、WILL 和 WONT 协商。
  • 支持子选项解析和保活机制。

• 自动载荷注入

  • 构建并发送精心构造的 ENVIRON 选项载荷，注入 USER=-f root。

• 交互式 Shell

  • 提供用于执行命令的双向交互式会话。

• 连接管理

  • 实现套接字保活、超时处理以及优雅的会话清理。

• 详细调试输出

  • 可选的调试输出，便于协议分析和故障排查。

使用方法

python3 exploit.py <target> -p <port> [options]

必需参数

可选参数

示例

对默认 Telnet 端口实施利用

python3 exploit.py 192.168.1.100

对自定义端口实施利用并输出详细信息

python3 exploit.py 192.168.1.100 -p 2323 -v

对不稳定的连接使用更长的保活间隔

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

利用流程

1. 建立连接

   • 使用适当的套接字选项和保活设置发起 TCP 连接。

2. 协议协商

   • 处理 Telnet 选项协商（SGA、ECHO 和 ENVIRON）。

3. 载荷投递

   • 发送 WILL ENVIRON，随后是精心构造的子选项载荷。

4. 身份验证绕过

   • 将 -f root 参数注入 login(1)，绕过凭据检查。

5. 交互式会话

   • 提供完整的双向 shell 访问，支持实时命令执行。

技术细节

本利用利用了 Telnet 的 ENVIRON 选项（RFC 1572），将命令行参数注入到 USER 环境变量中。

当 telnetd 将该未清理的值传递给 login -f root 时，login 程序将 -f 解释为强制绕过身份验证的标志，从而在无需密码验证的情况下授予 root 访问权限。

协议处理

该利用脚本实现了：

• IAC（解释为命令）字节转义
• 子选项解析与构造
• 选项协商响应（WILL、WONT、DO、DONT）
• 用于维持会话稳定性的保活 NOP 命令

示例输出

$ python3 exploit.py 127.0.0.1 -p 2323

[!] 代码作者: K3ysTr0K3R
[*] Telnet 身份验证绕过
[*] 正在连接 127.0.0.1:2323
[+] 连接已建立
[+] 利用载荷已发送（19 字节）

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

环境要求

• Python 3.7 或更高版本
• 无外部依赖
• 仅使用 Python 标准库

检测与缓解措施

系统管理员可通过监控以下内容来检测利用尝试：

• Telnet 连接中进行的 ENVIRON 选项协商。
• 包含 -f 或其他命令行标志的 USER 环境变量。
• 系统日志中的身份验证绕过事件。

缓解措施

升级至 GNU InetUtils 版本 2.8，或应用官方安全补丁，该补丁会在将环境变量传递给 login(1) 之前对其进行清理。

免责声明

本概念验证仅用于安全研究、漏洞验证以及授权测试环境。请仅在你获得明确许可进行安全评估的系统上使用。