Sisendi, tühik, sidekriips, root. Telneti viga võimaldab arvutit paroolita hõivata

GNU InetUtils paketis esinev haavatavus mõjutab kõiki versioonide vahelisi 1.9.3 kuni 2.7, sealhulgas.

Tundub, et telnet on ammu minevikku jäänud koos modemite ja dial-up'iga, kuid just tema on äkitselt tõsise haavatavuse allikaks saanud. GNU InetUtils'is avastati viga, mis võimaldab sisse logida root'ina paroolita, lihtsalt saates kohandatud keskkonnamuutuja väärtuse.

Probleem mõjutab telnetd serverit, mis kuulub GNU InetUtils'i koostisosade hulka. See edastab login programmi USER muutuja väärtuse, saadi kliendilt, ilma igasuguse kontrollita. Seda saab ära kasutada, kui klient saadab stringi "-f root" USER'ina ja ühendub parameetriga telnet -a või –login. Selle tulemusena tõlgendab login seda teenusevahemärgina, mööda minnes tavapärasest autentimisprotsessist ning autoriseerib kasutaja automaatselt root'ina.

Haavatavus sai identifikaatori CVE-2026-24061 ja CVSS hindeks 9.8. Ohus on kõik GNU InetUtils versioonid alates 1.9.3 kuni 2.7, sealhulgas. Vigade projekt on olnud olemas peaaegu 11 aastat, alates maist 2015, kuid avastati alles nüüd. Tegelikult on see klassikaline näide vanakooli haavatavusest, kus ohtlik string edastatakse filtrimata süsteemitegevusele root õigustega.

Advisory autorid soovitavad kategooriliselt telnetd mitte kasutada, piirata juurdepääsu telnet-portile ainult usaldusväärsetele klientidele ja võimalikult kiiresti installida paranduse või värskendada versioonile, kus probleem on lahendatud. Ajutiseks lahenduseks võib olla telnetd täielik väljalülitamine või kohandatud login versiooni kasutamine, mis ei toeta parameetrit "-f".

Haavatavuse avastas uurija Carlos Cortes Alvarez. Patcher valmis ja täiustatud GNU InetUtils'i arendajate poolt jaanuaris 2026. Parandused hõlmavad kõigi muutuja sanitiseerimist, mida kasutatakse login kutse käsu vormimisel, et sarnased rünnakud muutuksid põhimõtteliselt võimatuks.

Lugu tundub peaaegu sümboolne: aegunud protokoll, unustatud teenus ja klassikaline loogiline viga viisid süsteemi täieliku kompromiteerimiseni. Veel üks meeldetuletus, et isegi "vana" tehnoloogia võib olla tõeline oht, kui see endiselt tootmisringkonnas töötab.

Otse kohe pärast haavatavuse teadete avaldamist käivitasid teadlased honeypot-andurid, et jälgida tegelikke ekspluateerimise katseid. Ründajad ei lasknud end kaua oodata. 18 tunni jooksul tuvastati 60 sissetungimise katset 18 unikaalselt IP-aadresse. Censys'i andmete kohaselt olid potentsiaalselt haavatavad ligikaudu kolm tuhat süsteemi üle kogu maailma, kuigi märkimisväärne osa neist on tõenäoliselt samuti honeypot-lõksud.

Katsutud liikluse analüüs näitas üsna kirju pilti. Kõige aktiivsem oli ründaja aadressilt 178.16.53.82, kes viis läbi 12 seanssi 10 erineva sihtmärgi vastu. Tema tegevus oli täielikult automatiseeritud: juurdepääsu saamisel käivitati standardkommandide komplekt nagu uname -a, id, /proc/cpuinfo ja /etc/passwd lugemine. Erakordne joon oli käskude väljundi ümbersidumine spetsiaalsete markeritega järgnevaks parsimiseks, mis näitab selgelt botnetti või automatiseeritud andmete kogumise süsteemi.

Rikkam oli ründaja aadressilt 216.106.186.24. Ta keskendus konkreetsele alamvõrgule ja üritas seadistada SSH-võtit püsivaks juurdepääsuks, samuti laadida ja käivitada välisserverilt Python-skripti — tõenäoliselt krüptovaluuta kaevandamiseks või botnetiks mõeldud pahavara. Tõsi, mõlemad katsed ebaõnnestusid: sihtsüsteemis ei eksisteerinud kausta .ssh ning puudusid curl ja python.

Erilist huvi pakuvad kaks ründajat aadressidelt 167.172.111.135 ja 165.22.30.48. Erinevalt teistest ei üritanud nad kohe saada root-õigusi, vaid katsetasid kontode, nagu nobody, daemon ja isegi olematute nonexistent123, kasutamist. Seansside vahelised viivitused ja tegevuste loogika viitavad elavale inimesele klaviatuuri taga. Tõenäoliselt on need kogenumad häkkerid, kes on teadlikud sissetungi avastamise süsteemidest ja omavad tehnikat privileegide tõstmiseks.

Mõned ründajad demonstreerisid tähelepanuväärset hooletust operatiivturbe osas. Näiteks kasutas kurjategija aadressilt 67.220.95.16 sama IP-d nii ekspluateerimiseks kui ka pahatahtlike programmide serveri majutamiseks. Teised paljastasid oma hostide nimesid juhuslikult muutuja DISPLAY kaudu: üks töötas süsteemist nimega MiniBear, teine — virtuaalsest masinast shared-vm2.localdomain, kolmas aga ühendus otse Kali Linuxi täielikust graafilisest keskkonnast.

Kokkuvõttes oli ründajate oskuste tase üsna madal. 18 rünnakuallikast vaid mõned näitasid professionaalsuse märke. Enamiku kasutati lihtsamaid automatiseeritud tööriistu või lihtsalt klõbistati klaviatuurile, järgides internetist leitud juhiseid. Sissetungi avastamise süsteem Suricata tuvastas edukalt hetke, mil üks ründajatest sai root-juurdepääsu, mis kinnitab veel kord mitmekihilise kaitse ja võrgu liikluse jälgimise tähtsust.

Uurijad märgivad, et see haavatavus, ühelt poolt, andis võimaluse hobi-häkkeritele harjutamiseks, kuid teisalt võimaldas turbespetsialistidel koguda väärtuslikku teavet tegevusviiside ja hõivatud tööriistade kohta.

Rohkem: https://www.securitylab.ru/news/568478.php

Allikas: linux.org.ru