Логин, интервал, тире, root. Грешка в telnet позволява да се получи достъп до компютъра без парола

Уязвимост в пакета GNU InetUtils засяга всички версии от 1.9.3 до 2.7 включително.

На пръв поглед, telnet отдавна е в миналото заедно с модемите и dial-up, но именно той внезапно стана източник на сериозна уязвимост. В GNU InetUtils е открит бъг, който позволява дистанционно влизане в системата като root без парола, само с изпращане на специално формулирана стойност на променливата среда.

Проблемът засяга telnetd сървъра, включен в състава на GNU InetUtils. Той предава на програмата login стойността на променливата USER, получена от клиента, без никаква проверка. Това може да се използва, ако клиентът изпрати низ «-f root» като USER и се свърже с параметъра telnet -a или –login. В резултат login възприема това като служебен флаг, пропуска стандартната процедура по удостоверяване и автоматично авторизира потребителя като root.

Уязвимостта получи идентификатор CVE-2026-24061 и оценка по CVSS: 9.8. Под заплаха са всички версии на GNU InetUtils, започвайки от 1.9.3 и завършвайки с 2.7 включително. Бъгът присъства в проекта почти 11 години, от май 2015 година, но беше открит едва сега. По същество, това е класически пример за уязвимост от старо училище, където опасен низ без филтрация се предава на системна утилита с привилегии root.

Авторы на advisory директно препоръчват изобщо да не се използва telnetd, да се ограничи достъпа до telnet порта само за доверени клиенти и колкото се може по-скоро да се инсталира корекция или да се обнови до версия, в която проблемът е отстранен. Временно решение може да бъде пълното изключване на telnetd или използването на кастомна версия на login, която не поддържа параметъра «-f».

Уязвимостта беше открита от изследователя Карлос Кортес Алварес, патчът беше подготвен и доработен от разработчиците на GNU InetUtils през януари 2026 година. Корекциите включват санитаризация на всички променливи, които се използват при формулирането на командата за извикване на login, за да станат подобни атаки невъзможни по принцип.

Историята изглежда почти символично: остарял протокол, забравена услуга и класическа логическа грешка доведоха до пълна компрометация на системата. Още едно напомняне, че дори "древни" технологии могат да останат реална заплаха, ако все още функционират в продукция.

Веднага след публикуването на информация за уязвимостта, екип от изследователи разгръща honeypot сензори, за да проследи реалните опити за експлоатация. Атакуващите не закъсняха. За 18 часа наблюдения бяха записани 60 опити за хакерство от 18 уникални IP адреса. Според платформата Censys, потенциално уязвими са около три хиляди системи по целия свят, въпреки че значителна част от тях вероятно също са honeypot капани.

Анализът на прихванатия трафик показа доста разнообразна картина. Най-активен беше атакуващият с адрес 178.16.53.82, който проведе 12 сесии срещу 10 различни цели. Действията му бяха напълно автоматизирани: след получаване на достъп се стартираше стандартен набор от команди за разузнаване, като uname -a, id, четене на /proc/cpuinfo и /etc/passwd. Характерна особеност беше обвивката на изхода на командите със специални маркери за последващ парсинг, което ясно сочи към ботнет или автоматизирана система за събиране на данни.

По-изискан беше злоумышленикът с адрес 216.106.186.24. Той се концентрира на конкретна подсетка и се опита да установи SSH ключ за постоянен достъп, както и да изтегли и стартира Python скрипт от външен сървър — предположително, злонамерен софтуер за криптомайнинг или ботнет. За съжаление, и двете опити се провалиха: на целевата система не съществуваше директория .ssh, а също така липсваха curl и python.

Особен интерес представляват двама атакуващи с адреси 167.172.111.135 и 165.22.30.48. За разлика от останалите, те не се опитаха веднага да получат root достъп, а експериментираха с акаунти nobody, daemon и дори не съществуващия nonexistent123. Пауза между сесиите и логиката на действията сочат, че зад клавиатурата стои жив човек. Вероятно това са по-опитни хакери, които знаят за системите за откритие на нахлувания и имат в арсенала си техники за повишаване на привилегиите.

Някои атакуващи демонстрираха забележителна небрежност в оперативната безопасност. Например, злоумислителят с адрес 67.220.95.16 използваше един и същ IP адрес както за експлоатация, така и за хостване на сървър с злонамерен софтуер. Други случайно разкриваха имената на хостовете си чрез променлива DISPLAY: един работеше от система с името MiniBear, друг - от виртуална машина shared-vm2.localdomain, трети пък се свързваше директно от напълно функционална графична среда Kali Linux.

Общото ниво на атакуващите се оказа доста ниско. От 18 източника на атаки, само единици показаха признаци на професионализъм. Повечето използваха примитивни автоматизирани инструменти или буквално натискаха клавишите, следвайки инструкции от интернет. Системата за откриване на прониквания Suricata успешно засече момента, в който един от атакуващите получи root достъп, което още веднъж потвърждава важността на многопластовата защита и мониторинга на мрежовия трафик.

Изследователите отбелязват, че тази уязвимост, от една страна, е дала възможност на хакери аматьори да практикуват, а от друга - е позволила на специалистите по безопасност да съберат ценни данни за актуалните тактики и инструменти на злонамерените.

Повече информация: https://www.securitylab.ru/news/568478.php

Източник: linux.org.ru