CVE-2026-28372 — GNU inetutils telnetd 权限提升 PoC

👤 作者

Mohammed Idrees Banyamer
约旦 🇯🇴
Instagram: @banyamer_security

安全研究员 | 进攻性安全 | 漏洞利用开发

🧨 漏洞利用标题

CVE‑2026‑28372 — GNU inetutils telnetd 通过 CREDENTIALS_DIRECTORY + login.noauth 实现权限提升

📌 概述

本概念验证（PoC）演示了 GNU inetutils telnetd 中的一个本地权限提升漏洞。

telnetd 错误地将客户端控制的环境变量传递给 login(1)。
通过设置：

CREDENTIALS_DIRECTORY=<攻击者目录>

并放置：

login.noauth = yes

即可绕过身份验证，从而可能无需密码即可获得 root shell。

⚠️ 漏洞详情

• CVE: CVE-2026-28372
• 受影响软件: GNU inetutils telnetd ≤ 2.7
• 条件: 支持 login.noauth 的 util-linux 版本
• 攻击类型: 本地权限提升
• CVSS: 7.4 高危
• CWE: CWE‑829

🎯 受影响系统

• 运行以下组件的 Linux 系统：
  • inetutils‑telnetd ≤ 2.7
  • util-linux ≥ ~2.40
• Ubuntu / Debian 衍生发行版（已测试）

🔬 漏洞利用机制

根本原因

telnetd → login(1) 环境变量信任问题。

攻击链

1. 攻击者创建受控目录
2. 放置值为 yes 的 login.noauth 文件
3. 通过 Telnet NEW‑ENVIRON 选项注入环境变量
4. login 读取攻击者控制的凭据目录
5. 身份验证绕过 → root shell

🧭 PoC 流程图

flowchart TD

A[非特权用户] --> B[创建伪造凭据目录]
B --> C[放置 login.noauth = yes]
C --> D[连接到 telnetd]
D --> E[注入环境变量]
E --> F[设置 CREDENTIALS_DIRECTORY]
F --> G[telnetd 调用 login]
G --> H[login 读取 login.noauth]
H --> I[身份验证绕过]
I --> J[获得 root shell]

▶️ 使用方法

环境要求

• Python 3
• 正在运行的 telnetd 服务
• 本地访问权限

运行 PoC

python3 cve-2026-28372.py

可选参数：

python3 cve-2026-28372.py --host 127.0.0.1 --port 23 --user root

🧪 自动执行的漏洞利用步骤

✔ 创建攻击者控制的凭据目录 ✔ 生成 login.noauth 绕过文件 ✔ 连接到 telnetd ✔ 注入恶意环境变量 ✔ 尝试身份验证绕过

🛡️ 缓解措施

立即修复

• 应用 inetutils 2.7 之后的补丁
• 清理环境变量
• 取消设置危险变量：

unsetenv("CREDENTIALS_DIRECTORY")

建议措施

• 禁用 telnet 服务
• 改用 SSH
• 限制本地服务
• 监控环境变量注入

📚 技术说明

• 需要本地文件写入权限
• telnetd 必须调用 /bin/login 或 /usr/bin/login
• 实际环境中的利用取决于服务的暴露程度

⚖️ 免责声明

本 PoC 仅用于：

• 安全研究
• 防御目的
• 经授权的测试环境

禁止未经授权的使用。

⭐ 致谢

PoC 研究者：

Mohammed Idrees Banyamer banyamer_security