Eine Sicherheitsanfälligkeit im GNU InetUtils-Paket betrifft alle Versionen von 1.9.3 bis einschließlich 2.7.
Obwohl telnet längst in Vergessenheit geraten scheint, zusammen mit Modems und Dial-up, ist es plötzlich zum Ursprung einer ernsthaften Sicherheitsanfälligkeit geworden. In GNU InetUtils wurde ein Fehler entdeckt, der es ermöglicht, sich ohne Passwort als root in das System einzuloggen, einfach durch das Senden eines speziell formatierten Wertes für eine Umgebungsvariable.
Das Problem betrifft den telnetd-Server, der Teil von GNU InetUtils ist. Er überträgt den Wert der VARIABLE USER, der vom Client erhalten wurde, ohne irgendwelche Überprüfungen. Hierbei kann man ausnutzen, dass der Client die Zeichenkette „-f root“ als USER sendet und sich mit dem Parameter telnet -a oder –login verbindet. Dadurch interpretiert login dies als Dienstflagge, überspringt den Standardauthentifizierungsprozess und autorisiert den Benutzer automatisch als root.
Die Schwachstelle erhielt die Kennung CVE-2026-24061 und eine CVSS-Bewertung von 9.8. Alle Versionen von GNU InetUtils, beginnend mit 1.9.3 bis einschließlich 2.7, sind betroffen. Der Fehler existiert im Projekt seit fast 11 Jahren, seit Mai 2015, wurde jedoch erst jetzt entdeckt. Es handelt sich im Wesentlichen um ein klassisches Beispiel für eine alte Schule-Sicherheitsanfälligkeit, bei der eine ungefilterte gefährliche Zeichenfolge an ein Dienstprogramm mit Root-Rechten übergeben wird.
Die Autoren des Advisories empfehlen dringend, telnetd überhaupt nicht zu verwenden, den Zugriff auf den Telnet-Port nur auf vertrauenswürdige Clients zu beschränken und so schnell wie möglich das Patch zu installieren oder auf eine Version zu aktualisieren, in der das Problem behoben ist. Eine vorübergehende Lösung kann das vollständige Deaktivieren von telnetd oder die Verwendung einer benutzerdefinierten Version von login sein, die die Option "-f" nicht unterstützt.
Die Schwachstelle wurde von dem Forscher Carlos Cortes Alvarez entdeckt. Der Patch wurde von den Entwicklern von GNU InetUtils im Januar 2026 vorbereitet und überarbeitet. Die Korrekturen beinhalten die Sanitärung aller Variablen, die bei der Erstellung des Aufrufs von login verwendet werden, um derartige Angriffe grundsätzlich unmöglich zu machen.
Die Geschichte wirkt beinahe symbolisch: Ein veralteter Protokoll, ein vergessener Dienst und ein klassischer logischer Fehler führten zur vollständigen Kompromittierung des Systems. Ein weiteres Erinnerungsstück daran, dass selbst "alte" Technologien eine echte Bedrohung darstellen können, wenn sie weiterhin in der Produktion eingesetzt werden.
Unmittelbar nach der Veröffentlichung der Informationen über die Schwachstelle setzte das Forschungsteam Honeypot-Sensoren ein, um echte Versuche der Ausnutzung zu verfolgen. Die Angreifer ließen nicht lange auf sich warten. In 18 Stunden Beobachtungszeit wurden 60 Hacking-Versuche von 18 einzigartigen IP-Adressen. Laut der Plattform Censys waren potenziell rund dreitausend Systeme weltweit vulnerable, obwohl ein erheblicher Teil davon wahrscheinlich auch Honeypot-Fallen sind.
Die Analyse des abgehörten Traffics zeigte ein sehr gemischtes Bild. Am aktivsten war der Angreifer von der Adresse 178.16.53.82, der 12 Sitzungen gegen 10 verschiedene Ziele durchführte. Seine Aktionen waren vollständig automatisiert: Nach dem Erhalt des Zugriffs wurden Standardbefehle wie uname -a, id, das Lesen von /proc/cpuinfo und /etc/passwd ausgeführt. Charakteristisch war die Umhüllung der Befehlsausgaben mit speziellen Markierungen für die anschließende Analyse, was eindeutig auf ein Botnet oder ein automatisiertes Datensystem hinweist.
Der Angreifer mit der Adresse 216.106.186.24 war raffinierter. Er konzentrierte sich auf ein bestimmtes Subnetz und versuchte, einen SSH-Schlüssel für den dauerhaften Zugang zu erstellen sowie ein Python-Skript von einem externen Server herunterzuladen und auszuführen – vermutlich Malware für Krypto-Mining oder ein Botnet. Tatsächlich scheiterten beide Versuche: Im Zielsystem gab es kein .ssh-Verzeichnis und auch curl und python fehlten.
Besonderes Interesse wecken zwei Angreifer mit den IP-Adressen 167.172.111.135 und 165.22.30.48. Im Gegensatz zu den anderen haben sie nicht sofort versucht, Root-Zugriff zu erlangen, sondern experimentierten mit den Konten nobody, daemon und sogar einem nicht existierenden Konto namens nonexistent123. Die Verzögerungen zwischen den Sitzungen und die Logik ihres Handelns weisen darauf hin, dass tatsächlich eine Person an der Tastatur sitzt. Wahrscheinlich handelt es sich um erfahrenere Hacker, die über Systeme zur Eindringungsüberwachung Bescheid wissen und Techniken zur Erhöhung von Berechtigungen im Repertoire haben.
Einige Angreifer zeigten eine erstaunliche Nachlässigkeit in der operationellen Sicherheit. Zum Beispiel verwendete ein Angreifer von der IP-Adresse 67.220.95.16 dieselbe IP sowohl für die Ausnutzung als auch für das Hosting eines Schadprogramms. Andere entblößten zufällig die Namen ihrer Hosts über die DISPLAY-Variable: einer arbeitete mit einem System namens MiniBear, ein weiterer mit einer virtuellen Maschine shared-vm2.localdomain, und ein dritter verband sich sogar direkt aus einer vollständigen grafischen Umgebung von Kali Linux.
Insgesamt ist das Niveau der Angreifer eher niedrig. Von 18 Angriffsquellen haben nur einige Anzeichen von Professionalität gezeigt. Die Mehrheit verwendete einfache automatisierte Werkzeuge oder drückte einfach auf die Tasten, während sie den Anweisungen aus dem Internet folgten. Das Intrusion Detection System Suricata hat erfolgreich den Moment registriert, in dem einer der Angreifer Root-Zugriff erlangte, was erneut die Wichtigkeit mehrschichtiger Sicherheitsmaßnahmen und die Überwachung des Netzwerkverkehrs unterstreicht.
Forscher stellen fest, dass diese Schwachstelle einerseits Hobbyhackern die Möglichkeit gab, praktische Erfahrungen zu sammeln, andererseits aber auch Sicherheitsfachleuten erlaubte, wertvolle Daten über aktuelle Taktiken und Werkzeuge der Angreifer zu sammeln.
Mehr Infos: https://www.securitylab.ru/news/568478.php
Quelle: linux.org.ru
