Sårbarheden i GNU InetUtils-pakken berører alle versioner fra 1.9.3 til 2.7 inklusive.
Det kan synes, at telnet for længst er blevet glemt sammen med modemmer og dial-up, men netop denne protokol er pludselig blevet kilde til en alvorlig sårbarhed. En fejl i GNU InetUtils tillader fjernadgang til systemet som root uden adgangskode ved blot at sende en specielt formuleret værdi af miljøvariablen.
Problemet berører telnetd-serveren, der indgår i GNU InetUtils. Den videresender værdien af USER-variablen, som er modtaget fra klienten, til login-programmet uden nogen form for kontrol. Dette kan udnyttes, hvis klienten sender strengen "-f root" som USER og tilslutter med parameteren telnet -a eller –login. Som resultat opfatter login dette som et kommandoflag, springer standardautentificeringsproceduren over og autoriserer automatisk brugeren som root.
Sårbarheden har fået identifikatoren CVE-2026-24061 og vurdering efter CVSS: 9.8. Alle versioner af GNU InetUtils, fra 1.9.3 til 2.7 inklusive, er i fare. Fejlen har været til stede i projektet i næsten 11 år, siden maj 2015, men er først blevet opdaget nu. I bund og grund er det et klassisk eksempel på en gammel skole-sårbarhed, hvor en farlig streng uden filtrering sendes til en systemutility med root-rettigheder.
Forfatterne af advisory anbefaler direkte at undgå at bruge telnetd helt, begrænse adgangen til telnet-porten til kun betroede klienter og hurtigst muligt installere en patch eller opgradere til en version, der har løst problemet. En midlertidig løsning kan være helt at deaktivere telnetd eller bruge en tilpasset version af login, som ikke understøtter parameteren "-f".
Sårbarheden blev opdaget af forskeren Carlos Cortes Alvarez, og patchen blev forberedt og revideret af udviklerne af GNU InetUtils i januar 2026. Rettelserne inkluderer sanitering af alle variable, der anvendes ved dannelsen af login-kommandoen, så sådanne angreb bliver umulige i princippet.
Historien ser næsten symbolsk ud: en forældet protokol, en glemt service og en klassisk logisk fejl har ført til en fuldstændig kompromittering af systemet. Endnu en påmindelse om, at selv "gamle" teknologier kan forblive en reel trussel, hvis de stadig er i produktion.
Umiddelbart efter offentliggørelsen af oplysninger om sårbarheden implementerede forskerteamet honeypot-sensorer for at spore reelle udnyttelsesforsøg. Angriberne lod ikke vente på sig. I løbet af 18 timers observationer blev der registreret 60 hackforsøg fra 18 unikke IP-adresser. Ifølge platformen Censys viste sig omkring tre tusinde systemer verden over at være potentielt sårbare, selvom en betydelig del af dem sandsynligvis også var honeypot-fælder.
Analysen af den opsnappede trafik viste et ret farverigt billede. Den mest aktive var angriberen fra adressen 178.16.53.82, som gennemførte 12 sessioner mod 10 forskellige mål. Hans handlinger var fuldstændig automatiserede: efter at have fået adgang blev der kørt et standard sæt af kommandoer som uname -a, id, læsning af /proc/cpuinfo og /etc/passwd. En karakteristisk egenskab var indpakningen af kommandoernes output med særlige markører til efterfølgende parsing, hvilket klart indikerer et botnet eller et automatiseret datainsamlingssystem.
En mere sofistikeret skurk var angriberen fra adressen 216.106.186.24. Han fokuserede på et specifikt subnet og forsøgte at oprette en SSH-nøgle for permanent adgang samt downloade og køre et Python-script fra en ekstern server – sandsynligvis malware til kryptovaluta-mining eller et botnet. Desværre mislykkedes begge forsøg: der fandtes ikke en .ssh-mappe på det målrettede system, og både curl og python var ikke til stede.
To angribere med adresserne 167.172.111.135 og 165.22.30.48 viser særlig interesse. I modsætning til de andre forsøgte de ikke straks at få root-adgang, men eksperimenterede med brugerkonti som nobody, daemon og endda den ikke-eksisterende nonexistent123. Forsinkelserne mellem sessionerne og logikken i deres handlinger tyder på en levende person bag tastaturet. Sandsynligvis er dette mere erfarne hackere, der er klar over indbrudsdetekteringssystemer og har teknikker til at hæve deres rettigheder.
Nogle angribere udviste en bemærkelsesværdig ligegyldighed over for operationel sikkerhed. For eksempel brugte en skadelig aktør fra IP-adressen 67.220.95.16 den samme IP både til udnyttelse og til hosting af serveren med malware. Andre afslørede ved et tilfælde deres værtændelser gennem DISPLAY-variablen: en arbejdede fra et system kaldet MiniBear, en anden fra en virtuel maskine shared-vm2.localdomain, mens en tredje endda tilsluttede sig direkte fra et fuldt grafisk miljø i Kali Linux.
Generelt var niveauet blandt angriberne ret lavt. Ud af de 18 angrebskilder viste kun få tegn på professionalisme. De fleste brugte de simpleste automatiserede værktøjer eller trykkede bogstaveligt talt på tasterne ifølge instruktioner fra internettet. Det indtrængningsdetekterende system Suricata registrerede med succes øjeblikket, hvor en af angriberne fik root-adgang, hvilket igen bekræfter vigtigheden af flerlagsbeskyttelse og overvågning af netværkstrafik.
Forskerne bemærker, at denne sårbarhed, på den ene side, gav amatørhackere mulighed for at øve sig, mens den på den anden side tillod sikkerhedsspecialister at indsamle værdifulde data om aktuelle taktikker og værktøjer anvendt af angribere.
Læs mere: https://www.securitylab.ru/news/568478.php
Kilde: linux.org.ru
