Eine Sicherheitsanfälligkeit im GNU InetUtils-Paket betrifft alle Versionen von 1.9.3 bis einschließlich 2.7.
Es scheint, dass Telnet längst zusammen mit Modems und Dial-up der Vergangenheit angehört, aber genau er ist plötzlich eine gravierende Sicherheitsanfälligkeit geworden. In GNU InetUtils wurde ein Fehler entdeckt, der es ermöglicht, sich ohne Passwort als Root über eine speziell formatierte Umgebungsvariable remote ins System einzuloggen.
Das Problem betrifft den telnetd-Server, der Teil von GNU InetUtils ist. Er überträgt den Wert der Umgebungsvariable USER, der vom Client erhalten wurde, ohne jegliche Prüfung an das Programm login. Dies kann ausgenutzt werden, wenn der Client die Zeichenfolge „-f root“ als USER sendet und sich mit den Parametern telnet -a oder –login verbindet. Infolgedessen wird dies von login als Dienstflag wahrgenommen, die Standard-Autorisierungsprozedur wird übersprungen und der Benutzer wird automatisch als Root autorisiert.
Die Sicherheitsanfälligkeit erhielt die Kennung CVE-2026-24061 und eine CVSS-Bewertung von 9,8. Betroffen sind alle Versionen von GNU InetUtils, beginnend mit 1.9.3 bis einschließlich 2.7. Der Fehler besteht seit fast 11 Jahren im Projekt, seit Mai 2015, wurde aber erst jetzt entdeckt. Es ist im Wesentlichen ein klassisches Beispiel für eine Sicherheitsanfälligkeit alter Schule, bei der eine gefährliche Zeichenfolge ohne Filterung an ein Systemwerkzeug mit Root-Berechtigungen übergeben wird.
Die Autoren der Advisory empfehlen dringend, telnetd überhaupt nicht zu verwenden, den Zugang zum Telnet-Port nur auf vertrauenswürdige Clients zu beschränken und so schnell wie möglich den Patch zu installieren oder auf eine Version zu aktualisieren, in der das Problem behoben ist. Eine vorübergehende Lösung kann das vollständige Deaktivieren von telnetd oder die Verwendung einer benutzerdefinierten Version von login sein, die den Parameter „-f“ nicht unterstützt.
Die Sicherheitsanfälligkeit wurde von dem Forscher Carlos Cortes Alvarez entdeckt, der Patch wurde im Januar 2026 von den Entwicklern von GNU InetUtils vorbereitet und überarbeitet. Die Korrekturen beinhalten die Sanitärung aller Variablen, die bei der Erstellung des Aufrufbefehls für login verwendet werden, um derartige Angriffe grundsätzlich unmöglich zu machen.
Die Geschichte wirkt beinahe symbolisch: Ein veraltetes Protokoll, ein vergessenes Dienstprogramm und ein klassischer logischer Fehler führten zur vollständigen Kompromittierung des Systems. Ein weiteres Beispiel dafür, dass selbst „alte“ Technologien eine reale Bedrohung bleiben können, solange sie noch im Einsatz sind.
Unmittelbar nach der Veröffentlichung der Informationen über die Schwachstelle richtete das Forschungsteam Honeypot-Sensoren ein, um echte Versuche zur Ausnutzung zu verfolgen. Die Angreifer ließen nicht lange auf sich warten. In 18 Stunden Beobachtung wurden 60 Hacking-Versuche von 18 einzigartigen IP-Adressen. Laut der Plattform Censys waren weltweit etwa dreitausend Systeme potenziell anfällig, wobei ein erheblicher Teil von ihnen wahrscheinlich ebenfalls Honeypot-Fallen war.
Die Analyse des abgefangenen Datenverkehrs zeigte ein sehr buntes Bild. Der aktivste Angreifer kam von der Adresse 178.16.53.82 und führte 12 Sitzungen gegen 10 verschiedene Ziele durch. Seine Aktionen waren vollständig automatisiert: Nach dem Erhalt des Zugriffs wurde ein Standardbefehlssatz zur Erkundung wie uname -a, id, das Lesen von /proc/cpuinfo und /etc/passwd ausgeführt. Eine charakteristische Besonderheit war die Einbettung der Ausgabe der Befehle in spezielle Marker zum anschließenden Parsen, was eindeutig auf ein Botnet oder ein automatisiertes Datensammlungssystem hinweist.
Ein raffinierterer Angreifer war unter der Adresse 216.106.186.24 aktiv. Er konzentrierte sich auf ein bestimmtes Subnetz und versuchte, einen SSH-Schlüssel für den permanenten Zugriff einzurichten sowie ein Python-Skript von einem externen Server herunterzuladen und auszuführen – vermutlich Schadsoftware für das Kryptomining oder ein Botnet. Allerdings scheiterten beide Versuche: Auf dem Zielsystem existierte kein Verzeichnis .ssh, und sowohl curl als auch python waren nicht vorhanden.
Besonderes Interesse gilt zwei Angreifern mit den Adressen 167.172.111.135 und 165.22.30.48. Im Gegensatz zu den anderen versuchten sie nicht sofort, Root-Rechte zu erlangen, sondern experimentierten mit den Konten nobody, daemon und sogar dem nicht existierenden nonexistent123. Die Verzögerungen zwischen den Sitzungen und die Logik der Aktionen deuten auf einen lebenden Menschen hinter der Tastatur hin. Wahrscheinlich handelt es sich um erfahrenere Hacker, die über Systeme zur Einbruchserkennung informiert sind und Techniken zur Privilegienerhöhung in ihrem Repertoire haben.
Einige Angreifer zeigten bemerkenswerte Nachlässigkeit in der operativen Sicherheit. Zum Beispiel verwendete ein Angreifer von der IP-Adresse 67.220.95.16 dieselbe IP sowohl für Exploits als auch für das Hosting des schädlichen Codes. Andere deckten zufällig die Namen ihrer Hosts über die DISPLAY-Variable auf: einer arbeitete von einem System namens MiniBear, ein anderer von einer virtuellen Maschine shared-vm2.localdomain, und ein dritter verband sich sogar direkt aus einer vollständigen grafischen Umgebung von Kali Linux.
Insgesamt war das Niveau der Angreifer ziemlich niedrig. Von 18 Angriffsquellen zeigten nur wenige Anzeichen von Professionalität. Die Mehrheit verwendete die einfachsten automatisierten Werkzeuge oder drückte einfach auf die Tasten, während sie den Anleitungen aus dem Internet folgten. Das Intrusion Detection System Suricata erkannte erfolgreich den Moment, in dem ein Angreifer Root-Zugriff erhielt, was erneut die Bedeutung einer mehrschichtigen Sicherheit und der Überwachung des Netzwerkverkehrs bestätigt.
Forscher stellen fest, dass diese Schwachstelle einerseits Amateur-Hackern die Möglichkeit gab, zu üben, andererseits es Sicherheitsfachleuten ermöglichte, wertvolle Daten über die aktuellen Taktiken und Werkzeuge der Angreifer zu sammeln.
Mehr erfahren: https://www.securitylab.ru/news/568478.php
Quelle: linux.org.ru
