Une vulnérabilité dans le paquet GNU InetUtils affecte toutes les versions de 1.9.3 à 2.7 inclus.
On pourrait penser que telnet est depuis longtemps dépassé avec les modems et le dial-up, mais c'est justement lui qui est devenu soudainement une source de vulnérabilité sérieuse. Un bogue a été découvert dans GNU InetUtils, permettant de se connecter à un système en tant que root sans mot de passe, simplement en envoyant une valeur de variable d'environnement spécialement formatée.
Le problème concerne le serveur telnetd intégré dans GNU InetUtils. Il transmet à l'application login la valeur de la variable USER, obtenue du client, sans aucune vérification. Cela peut être exploité si le client envoie la chaîne « -f root » comme USER et se connecte avec l'option telnet -a ou –login. En conséquence, login interprète cela comme un drapeau de service, omet la procédure d'authentification standard et autorise automatiquement l'utilisateur en tant que root.
La vulnérabilité a reçu l'identifiant CVE-2026-24061 et une évaluation CVSS de 9,8. Toutes les versions de GNU InetUtils, de 1.9.3 à 2.7 inclus, sont menacées. Le bogue est présent dans le projet depuis près de 11 ans, depuis mai 2015, mais n'a été découvert que récemment. C'est en fait un exemple classique de vulnérabilité de l'ancienne école, où une chaîne dangereuse non filtrée est transmise à un utilitaire système avec des privilèges root.
Les auteurs de l'avis recommandent vivement de ne pas utiliser telnetd, de restreindre l'accès au port telnet uniquement aux clients de confiance et d'appliquer le correctif ou de mettre à jour vers une version où le problème est corrigé dès que possible. Une solution temporaire peut être la désactivation complète de telnetd ou l'utilisation d'une version personnalisée de login qui ne prend pas en charge l'option « -f ».
La vulnérabilité a été découverte par le chercheur Carlos Cortes Alvarez, et le correctif a été élaboré et finalisé par les développeurs de GNU InetUtils en janvier 2026. Les corrections comprennent la sanitation de toutes les variables utilisées lors de la formation de la commande d'appel de login, afin que de telles attaques deviennent impossibles en principe.
L'histoire semble presque symbolique : un protocole obsolète, un service oublié et une erreur logique classique ont conduit à une compromission totale du système. Un autre rappel que même les technologies « anciennes » peuvent représenter une menace réelle si elles fonctionnent encore en production.
Dès la publication d'informations sur la vulnérabilité, l'équipe de chercheurs a déployé des capteurs honeypot pour suivre les véritables tentatives d'exploitation. Les attaquants ne se sont pas fait attendre. En 18 heures d'observations, 60 tentatives de piratage ont été enregistrées depuis 18 adresses uniques. adresses IP. Selon les données de la plateforme Censys, environ trois mille systèmes à travers le monde se sont avérés potentiellement vulnérables, bien qu'une partie significative d'entre eux soit probablement également des pièges honeypot.
L'analyse du trafic intercepté a révélé un tableau plutôt coloré. L'attaquant le plus actif était celui avec l'adresse 178.16.53.82, qui a mené 12 sessions contre 10 cibles différentes. Ses actions étaient entièrement automatisées : après avoir obtenu un accès, un ensemble standard de commandes de renseignement était lancé, comme uname -a, id, lecture de /proc/cpuinfo et /etc/passwd. Une caractéristique notable était l'encapsulation de la sortie des commandes avec des marqueurs spéciaux pour un traitement ultérieur, ce qui indique clairement l'utilisation d'un botnet ou d'un système automatisé de collecte de données.
Un malfaiteur plus sophistiqué a été observé à l'adresse 216.106.186.24. Il s'est concentré sur un sous-réseau spécifique et a tenté d'établir une clé SSH pour un accès permanent, ainsi que de télécharger et d'exécuter un script Python depuis un serveur externe — présumément un malware pour le cryptominage ou un botnet. Cependant, les deux tentatives ont échoué : le répertoire .ssh n'existait pas sur le système ciblé, et les commandes curl et python étaient également absentes.
L'intérêt particulier se porte sur deux attaquants avec les adresses 167.172.111.135 et 165.22.30.48. Contrairement aux autres, ils n'ont pas essayé d'obtenir immédiatement un accès root, mais ont expérimenté avec les comptes nobody, daemon et même un compte inexistant nonexistent123. Les délais entre les sessions et la logique de leurs actions suggèrent qu'il y a une personne réelle derrière le clavier. Il s'agit probablement de hackers plus expérimentés qui connaissent les systèmes de détection d'intrusions et possèdent des techniques d'élévation de privilèges.
Certains attaquants ont montré une négligence flagrante en matière de sécurité opérationnelle. Par exemple, un malfaiteur utilisant l'adresse 67.220.95.16 a employés la même IP pour l'exploitation et l'hébergement d'un serveur contenant des logiciels malveillants. D'autres ont accidentellement révélé les noms de leurs hôtes via la variable DISPLAY : l'un travaillait sur un système appelé MiniBear, un autre sur une machine virtuelle shared-vm2.localdomain, et un troisième se connectait directement depuis un environnement graphique complet de Kali Linux.
En général, le niveau des attaquants s'est révélé assez faible. Parmi 18 sources d'attaques, seules quelques-unes ont montré des signes de professionnalisme. La plupart utilisaient des outils automatisés simples ou appuyaient simplement sur les touches, suivant des instructions trouvées sur Internet. Le système de détection d'intrusions Suricata a réussi à détecter le moment où l'un des attaquants a obtenu un accès root, confirmant encore une fois l'importance d'une défense multilevel et du suivi du trafic réseau.
Les chercheurs notent que cette vulnérabilité, d'un côté, a offert aux hackers amateurs l'occasion de s'exercer, mais d'un autre côté, elle a permis aux spécialistes de la sécurité de collecter des données précieuses sur les tactiques et outils actuels des malfaiteurs.
Plus de détails : https://www.securitylab.ru/news/568478.php
Source : linux.org.ru
