{"id":155278,"date":"2026-01-26T11:12:14","date_gmt":"2026-01-26T09:12:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/login-probel-defis-root-bag-v-telnet-pozvolyaet-zahvatit-kompyuter-bez-parolya"},"modified":"2026-01-26T11:12:14","modified_gmt":"2026-01-26T09:12:14","slug":"login-probel-defis-root-bag-v-telnet-pozvolyaet-zahvatit-kompyuter-bez-parolya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/login-probel-defis-root-bag-v-telnet-pozvolyaet-zahvatit-kompyuter-bez-parolya","title":{"rendered":"Login, spatie, streepje, root. Een bug in telnet maakt het mogelijk een computer zonder wachtwoord over te nemen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een kwetsbaarheid in het GNU InetUtils-pakket betreft alle versies van 1.9.3 tot en met 2.7.<\/p>\n
Het lijkt misschien alsof telnet lang geleden is verouderd samen met modems en dial-up, maar het is juist dat hij plotseling een bron van een ernstige kwetsbaarheid is geworden. In GNU InetUtils is er een bug ontdekt die het mogelijk maakt om op afstand toegang te krijgen tot het systeem als root zonder wachtwoord, simpelweg door een speciaal gevormde waarde voor de omgevingsvariabele te verzenden.<\/p>\n
Het probleem betreft de telnetd-server, die deel uitmaakt van GNU InetUtils. Deze server geeft de login-toepassing de waarde van de variabele USER door die van de client is ontvangen, zonder enige controle. Dit kan worden misbruikt als de client de string \"-f root\" als USER verzendt en zich verbindt met de parameter telnet -a of \u2013login. Hierdoor beschouwt login dit als een functieflag, slaat het de standaardauthenticatieprocedure over en logt de gebruiker automatisch in als root.<\/p>\n
De kwetsbaarheid heeft de identificatie CVE-2026-24061 ontvangen en is beoordeeld met een CVSS-score van 9.8. Alle versies van GNU InetUtils, van 1.9.3 tot en met 2.7, zijn in gevaar. De bug is bijna 11 jaar in het project aanwezig, sinds mei 2015, maar is pas nu ontdekt. In wezen is dit een klassiek voorbeeld van een oudere kwetsbaarheid, waarin een gevaarlijke string zonder filtering wordt doorgegeven aan een systeemtool met root-rechten.<\/p>\n
De auteurs van de advisory raden ten zeerste aan om telnetd helemaal niet te gebruiken, de toegang tot de telnet-poort alleen te beperken tot vertrouwde clients en zo snel mogelijk de patch te installeren of te upgraden naar een versie waarin het probleem is verholpen. Een tijdelijke oplossing kan zijn om telnetd volledig uit te schakelen of een aangepaste versie van login te gebruiken die de parameter \"-f\" niet ondersteunt.<\/p>\n
De kwetsbaarheid is ontdekt door onderzoeker Carlos Cortes Alvarez, de patch werd voorbereid en bewerkt door de ontwikkelaars van GNU InetUtils in januari 2026. De correcties omvatten het sanitizen van alle variabelen die worden gebruikt bij het samenstellen van de login-aanroep, zodat dergelijke aanvallen in principe onmogelijk worden.<\/p>\n
Het verhaal lijkt bijna symbolisch: een verouderd protocol, een vergeten service en een klassieke logische fout leidden tot een volledige compromittering van het systeem. Weer een herinnering dat zelfs \"oude\" technologie\u00ebn een echte bedreiging kunnen blijven vormen als ze nog steeds in productie zijn.<\/p>\n