Zranitelnost v balíčku GNU InetUtils zasáhla všechny verze od 1.9.3 do 2.7 včetně.
Zdá se, že telnet dávno odešel do minulosti spolu s modemy a dial-up, ale právě on se náhle stal zdrojem vážné zranitelnosti. V GNU InetUtils byla objevena chyba, která umožňuje vzdálený přístup do systému jako root bez hesla, stačí jen poslat speciálně vytvořenou hodnotu proměnné prostředí.
Problém se týká telnetd serveru, který je součástí GNU InetUtils. Ten předává programu login hodnotu proměnné USER získanou od klienta, aniž by provedl jakoukoli kontrolu. Toho lze zneužít, pokud klient odešle řetězec "-f root" jako USER a připojí se s parametrem telnet -a nebo –login. V důsledku toho login považuje toto za vlajku a vynechává standardní proces ověřování, automaticky autorizuje uživatele jako root.
Zranitelnost má identifikátor CVE-2026-24061 a hodnocení podle CVSS: 9.8. V ohrožení jsou všechny verze GNU InetUtils, počínaje 1.9.3 a konče 2.7 včetně. Chyba je v projektu přítomna téměř 11 let, od května 2015, ale byla odhalena až nyní. V podstatě jde o klasický příklad zranitelnosti staré školy, kde nebezpečný řetězec bez filtrace je posílán systémové utilitě s privilegii root.
Autoři advisoriu přímo doporučují vůbec nepoužívat telnetd, omezit přístup k telnet portu pouze na důvěryhodné klienty a co nejdříve nainstalovat opravu nebo přejít na verzi, ve které byl problém vyřešen. Dočasným řešením může být úplné vypnutí telnetd nebo použití přizpůsobené verze login, která nepodporuje parametr "-f".
Zranitelnost odhalil výzkumník Carlos Cortes Álvarez, patch byl připraven a upraven vývojáři GNU InetUtils v lednu 2026. Opravy zahrnují sanitaci všech proměnných, které se používají při vytváření příkazu pro volání login, aby takovéto útoky byly principiálně nemožné.
Celá historie vypadá téměř symbolicky: zastaralý protokol, zapomenutá služba a klasická logická chyba vedly k úplné kompromitaci systému. Další připomínka, že i "staré" technologie mohou zůstat skutečnou hrozbou, pokud stále běží v produkčním prostředí.
Ihned po publikaci informace o zranitelnosti tým výzkumníků nasadil honeypot senzory, aby sledoval skutečné pokusy o exploitaci. Útočníci se nenechali dlouho čekat. Během 18 hodin pozorování bylo zaznamenáno 60 pokusů o prolomení od 18 unikátních IP adress. Podle platformy Censys bylo potenciálně zranitelných přibližně tři tisíce systémů po celém světě, ačkoliv značná část z nich pravděpodobně také byla honeypot pasti.
Analýza zachyceného provozu ukázala velmi pestrý obrázek. Nejaktivnějším se ukázal útočník s adresy 178.16.53.82, který provedl 12 sezení proti 10 různým cílům. Jeho činnosti byly plně automatizované: po získání přístupu se spustil standardní soubor příkazů pro průzkum jako uname -a, id, čtení /proc/cpuinfo a /etc/passwd. Charakeristickým rysem byla obálka výstupu příkazů speciálními značkami pro následné parsování, což jasně naznačuje botnet nebo automatizovaný systém sběru dat.
Složitější se ukázal útočník s adresy 216.106.186.24. Soustředil se na konkrétní podsíť a pokusil se nainstalovat SSH klíč pro trvalý přístup, a také nahrát a spustit Python skript z externího serveru — pravděpodobně škodlivý software pro kryptoměnové dolování nebo botnet. Pravda, obě pokusy selhaly: na cílovém systému neexistoval adresář .ssh, a chyběly také curl a python.
Zvláštní zájem vzbuzují dva útočníci s adresami 167.172.111.135 a 165.22.30.48. Na rozdíl od ostatních se nepokoušeli okamžitě získat root přístup, ale experimentovali s účty nobody, daemon a dokonce neexistujícím nonexistent123. Zpoždění mezi sezeními a logika činů ukazují na živého člověka za klávesnicí. Pravděpodobně se jedná o zkušenější hackery, kteří vědí o systémech detekce vniknutí a mají v záloze techniky pro zvyšování oprávnění.
Někteří útočníci předváděli ohromující nedbalost v operační bezpečnosti. Například útočník z adresy 67.220.95.16 používal stejnou IP jak pro explozi, tak pro hostování serveru s malwarem. Jiní náhodně odhalovali názvy svých hostitelů prostřednictvím proměnné DISPLAY: jeden pracoval ze systému nazvaného MiniBear, jiný z virtuálního stroje shared-vm2.localdomain, a třetí se dokonce připojil přímo z plnohodnotného grafického prostředí Kali Linux.
Celková úroveň útočníků se ukázala jako poměrně nízká. Z 18 zdrojů útoků pouze několik prokázalo známky profesionality. Většina používala nejjednodušší automatizované nástroje nebo doslova ťukali do kláves na základě pokynů z internetu. Systém detekce průniků Suricata úspěšně zachytil okamžik získání root přístupu jedním z útočníků, což znovu potvrzuje důležitost vícestupňové ochrany a monitorování síťového provozu.
Výzkumníci uvádějí, že tato zranitelnost jedním způsobem umožnila amatérským hackerům si vyzkoušet, ale na druhé straně umožnila bezpečnostním odborníkům shromáždit cenná data o aktuálních taktikách a nástrojích útočníků.
Více informací: https://www.securitylab.ru/news/568478.php
Zdroj: linux.org.ru
