Una vulnerabilità nel pacchetto GNU InetUtils ha interessato tutte le versioni dalla 1.9.3 alla 2.7 inclusa.
Sembrerebbe che il telnet sia ormai un lontano ricordo insieme ai modem e alle connessioni dial-up, ma proprio lui è improvvisamente diventato fonte di una grave vulnerabilità. È stato scoperto un bug in GNU InetUtils che consente di accedere al sistema come root senza password, semplicemente inviando un valore di variabile d'ambiente opportunamente formattato.
Il problema interessa il server telnetd, che fa parte di GNU InetUtils. Questo trasferisce al programma login il valore della variabile USER ricevuto dal client, senza alcun controllo. Ciò può essere sfruttato se il client invia la stringa ‘-f root’ come USER e si connette con il parametro telnet -a o –login. Di conseguenza, login interpreta questo come un flag di servizio, salta la procedura standard di autenticazione e autorizza automaticamente l'utente come root.
La vulnerabilità ha ricevuto l'identificativo CVE-2026-24061 e una valutazione CVSS di 9.8. Sono a rischio tutte le versioni di GNU InetUtils dalla 1.9.3 alla 2.7 inclusa. Il bug è presente nel progetto da quasi 11 anni, da maggio 2015, ma è stato scoperto solo ora. In sostanza, si tratta di un classico esempio di vulnerabilità della vecchia scuola, in cui una stringa pericolosa viene inviata a una utility di sistema con privilegi di root senza alcun filtro.
Gli autori dell'advisory raccomandano di non utilizzare affatto telnetd, di limitare l'accesso alla porta telnet solo a clienti fidati e di installare la patch o aggiornare alla versione che risolve il problema il prima possibile. Una soluzione temporanea può essere la disattivazione totale di telnetd o l'uso di una versione personalizzata di login che non supporta il parametro ‘-f’.
La vulnerabilità è stata scoperta dal ricercatore Carlos Cortes Alvarez, e la patch è stata preparata e completata dagli sviluppatori di GNU InetUtils nel gennaio 2026. Le correzioni includono la sanificazione di tutte le variabili utilizzate per generare il comando di chiamata a login, in modo che attacchi simili non siano più possibili.
La storia appare quasi simbolica: un protocollo obsoleto, un servizio dimenticato e un classico errore logico hanno portato a una completa compromissione del sistema. Un ulteriore promemoria che anche le tecnologie 'antiche' possono rappresentare una minaccia reale se continuano a essere utilizzate in produzione.
Subito dopo la pubblicazione delle informazioni sulla vulnerabilità, il team di ricercatori ha attivato sensori honeypot per monitorare i veri tentativi di sfruttamento. Gli attaccanti non hanno tardato ad arrivare. In 18 ore di osservazione sono stati registrati 60 tentativi di intrusione da 18 unici. indirizzi IPSecondo i dati della piattaforma Censys, circa tremila sistemi in tutto il mondo si sono rivelati potenzialmente vulnerabili, anche se gran parte di essi sono probabilmente trappole honeypot.
L'analisi del traffico intercettato ha mostrato un quadro piuttosto variegato. L'attaccante più attivo è risultato essere quello con indirizzo 178.16.53.82, che ha effettuato 12 sessioni contro 10 obiettivi diversi. Le sue azioni erano completamente automatizzate: dopo aver ottenuto accesso, veniva eseguito un insieme standard di comandi di esplorazione come uname -a, id, lettura di /proc/cpuinfo e /etc/passwd. Una caratteristica peculiare era l'involucro dell'output dei comandi con marcatori speciali per una successiva analisi, il che indica chiaramente un botnet o un sistema automatizzato di raccolta dati.
Un criminale più sofisticato si è rivelato essere quello con indirizzo 216.106.186.24. Si è concentrato su una specifica sottorete e ha tentato di impostare una chiave SSH per l'accesso permanente, oltre a caricare ed eseguire uno script Python da un server esterno, presumibilmente malware per mining di criptovalute o botnet. Tuttavia, entrambi i tentativi sono falliti: non esisteva alcuna directory .ssh nel sistema obiettivo, e mancavano curl e python.
Particolare interesse suscitano due attaccanti con gli indirizzi 167.172.111.135 e 165.22.30.48. A differenza degli altri, non hanno cercato subito di ottenere accesso root, ma hanno sperimentato con gli account nobody, daemon e persino con il non esistente nonexistent123. Le attese tra le sessioni e la logica delle azioni indicano una persona reale dietro la tastiera. Probabilmente si tratta di hacker più esperti che conoscono i sistemi di rilevamento delle intrusioni e possiedono tecniche per l'aumento dei privilegi.
Alcuni attaccanti hanno mostrato un'incredibile negligenza nella sicurezza operativa. Ad esempio, un malintenzionato con l'indirizzo 67.220.95.16 ha utilizzato lo stesso IP sia per sfruttare che per ospitare un server con malware. Altri hanno accidentalmente rivelato i nomi dei loro host tramite la variabile DISPLAY: uno lavorava da un sistema chiamato MiniBear, un altro dalla macchina virtuale shared-vm2.localdomain, e un terzo si collegava direttamente da un ambiente grafico completo di Kali Linux.
In generale, il livello degli attaccanti si è rivelato piuttosto basso. Dei 18 fonti di attacco, solo poche hanno dimostrato segni di professionalità. La maggior parte ha utilizzato strumenti automatizzati di base o ha semplicemente premuto i tasti seguendo le istruzioni disponibili online. Il sistema di rilevamento delle intrusioni Suricata ha rilevato con successo il momento in cui uno degli attaccanti ha ottenuto l'accesso root, cosa che ribadisce l'importanza di una protezione multilivello e di un monitoraggio del traffico di rete.
I ricercatori osservano che questa vulnerabilità, da un lato, ha fornito ai hacker dilettanti l'opportunità di esercitarsi, e dall'altro, ha permesso agli esperti di sicurezza di raccogliere dati preziosi sulle attuali tattiche e strumenti degli aggressori.
Ulteriori informazioni: https://www.securitylab.ru/news/568478.php
Fonte: linux.org.ru
