A GNU InetUtils csomagban talált sebezhetőség minden 1.9.3 és 2.7 közötti verziót érint.
Úgy tűnik, a telnet régóta a múlté van a modemekkel és a dial-up kapcsolatukkal együtt, de éppen ő lett hirtelen egy súlyos sebezhetőség forrása. A GNU InetUtils-ban felfedeztek egy hibát, amely lehetővé teszi a root fiók távoli belépését jelszó nélkül, csupán egy speciálisan megformázott környezeti változó értékének elküldésével.
A probléma a GNU InetUtils által tartalmazott telnetd szervert érinti. Ez átadja a login programnak a kliens által kapott USER változó értékét, mindenféle ellenőrzés nélkül. Ezt ki lehet használni, ha a kliens az „-f root” sort küldi USER-nek és a telnet -a vagy –login paraméterrel csatlakozik. Ennek eredményeként a login ezt egy szolgáltatási jelzőként érzékeli, megkerüli a szokásos hitelesítési eljárást, és automatikusan root jogokkal engedélyezi a felhasználót.
A sebezhetőség azonosítója CVE-2026-24061 és a CVSS értékelése: 9.8. Az összes GNU InetUtils verzió veszélyben van, kezdve 1.9.3-tól egészen 2.7-ig. A hiba majdnem 11 éve jelen van a projektben, 2015 májusa óta, de most fedezték fel. Lényegében ez egy klasszikus példa egy régi iskola sebezhetőségére, ahol a veszélyes szöveg szűrés nélkül kerül átadásra egy root jogosultságú rendszersegédprogramnak.
A tanulmány szerzői kifejezetten ajánlják, hogy teljesen kerüljék a telnetd használatát, korlátozzák a telnet port elérhetőségét csak megbízható kliensekre, és a lehető leghamarabb telepítsenek javítást vagy frissítsenek egy olyan verzióra, amelyben a probléma megoldódott. Ideiglenes megoldás lehet a telnetd teljes letiltása vagy egy egyedi login verzió használata, amely nem támogatja a „-f” paramétert.
A sebezhetőséget Carlos Cortés Álvarez kutató fedezte fel, a javítást pedig a GNU InetUtils fejlesztői 2026 januárjában készítették el és dolgozták ki. A javítások magukban foglalják az összes változó sanitálását, amelyek a login parancs hívásának formálásához szükségesek, hogy az ilyen típusú támadások elvileg lehetetlenné váljanak.
A történet majdnem szimbolikusnak tűnik: egy elavult protokoll, egy elfeledett szolgáltatás és egy klasszikus logikai hiba teljes rendszerkompromittálódáshoz vezetett. Újabb emlékeztető arra, hogy még a „régi” technológiák is valós fenyegetést jelenthetnek, ha még mindig működnek a termelésben.
Azonnal a sebezhetőség nyilvánosságra hozatala után a kutatói csapat honeypot érzékelőket telepített a tényleges kihasználási kísérletek nyomon követésére. A támadók nem váratták meg magukat. 18 óra megfigyelés alatt 60 behatolási kísérletet regisztráltak 18 egyedi IP-címtől. IP-címek. A Censys platform adatai szerint körülbelül háromezer rendszer bizonyult potenciálisan sebezhetőnek világszerte, bár valószínűleg jelentős részük is honeypot csapdák volt.
A lehallgatott forgalom elemzése meglehetősen színes képet mutatott. A legaktívabb támadó a 178.16.53.82 címről érkezett, aki 12 ülést folytatott 10 különböző célpont ellen. A tevékenységei teljesen automatizáltak voltak: miután hozzáférést nyert, egy standard parancsokból álló készlet indult el, mint például uname -a, id, a /proc/cpuinfo és /etc/passwd olvasása. Karakteres jellemző volt, hogy a parancsok kimenetét speciális jelölőkkel keretezték a későbbi feldolgozás érdekében, ami egyértelműen botnet vagy automatizált adatgyűjtő rendszer működésére utal.
A 216.106.186.24 címről érkező elkövető tovább rafináltabb volt. Konkrét alhálózatra összpontosított, és megpróbálta SSH kulcsot telepíteni a folyamatos hozzáférés érdekében, valamint Python szkriptet letölteni és futtatni egy külső szerverről — feltehetően kártevőt a kriptopénz bányászatra vagy botnethez. Az igazság azonban az, hogy mindkét kísérlet kudarcot vallott: a célszámítógépen nem létezett .ssh könyvtár, és curl, illetve python sem volt telepítve.
Két támadó különös figyelmet érdemel a 167.172.111.135 és 165.22.30.48 címekről. Ellentétben a többiekkel, ők nem próbálták azonnal megszerezni a root hozzáférést, hanem a nobody, a daemon és még a nem létező nonexistent123 fiókokkal kísérleteztek. Az ülések közötti késlekedés és a cselekvések logikája arra utal, hogy élő ember állhat a billentyűzet mögött. Valószínűleg tapasztaltabb hackerekről van szó, akik tudnak a behatolásérzékelő rendszerekről, és rendelkeznek a jogosultságok emelésének technikáival.
Néhány támadó meglepő hanyagságot mutatott a műveleti biztonság terén. Például egy támadó, akinek IP címe 67.220.95.16, ugyanazt az IP-t használta a támadásra és a rosszindulatú szoftverek szerverének hosztolására. Mások véletlenül kiszivárogtatták a gazdagépneveiket a DISPLAY változón keresztül: az egyik egy MiniBear nevű rendszerről dolgozott, a másik a shared-vm2.localdomain virtuális gépről, a harmadik pedig közvetlenül a Kali Linux teljes grafikus környezetéből csatlakozott.
Összességében a támadók szintje meglehetősen alacsony volt. A 18 támadási forrás közül csak néhány mutatott professzionalizmus jeleit. A többség a legegyszerűbb automatizált eszközöket használta, vagy egyszerűen csak nyomkodták a billentyűket, követve az interneten található utasításokat. A Suricata behatolásérzékelő rendszer sikeresen észlelte egy támadó root-hozzáférésének megszerzésének pillanatait, ami még egyszer megerősíti a több szintű védelem és a hálózati forgalom monitorozásának fontosságát.
A kutatók megjegyzik, hogy ez a sérülékenység egyrészt lehetőséget adott a kezdő hackereknek a gyakorlásra, másrészt lehetőséget biztosított a biztonsági szakembereknek, hogy értékes adatokat gyűjtsenek a legfrissebb taktikákról és eszközökről.
További információ: https://www.securitylab.ru/news/568478.php
Forrás: linux.org.ru
