Zraniteľnosť v balíku GNU InetUtils zasiahla všetky verzie od 1.9.3 do 2.7 vrátane.
Na prvý pohľad sa zdalo, že telnet dávno patrí minulosti spolu s modemmi a dial-up pripojením, ale práve on sa náhle stal zdrojom vážnej zraniteľnosti. V GNU InetUtils bol objavený bug, ktorý umožňuje vzdialený prístup do systému ako root bez hesla, stačí poslať špeciálne formovaný hodnotou premennej prostredia.
Problém sa týka servera telnetd, ktorý je súčasťou GNU InetUtils. Ten posiela programu login hodnotu premennej USER, ktorú získal od klienta, bez akejkoľvek kontroly. Toho môže využiť, ak klient pošle reťazec „-f root“ ako USER a pripojí sa s parametrom telnet -a alebo –login. V dôsledku toho login interpretuje to ako systémovú vlajku, preskočí štandardný proces autentifikácie a automaticky autorizuje používateľa ako root.
Zraniteľnosť dostala identifikátor CVE-2026-24061 a hodnotenie podľa CVSS: 9.8. Ohrozené sú všetky verzie GNU InetUtils, počínajúc verziou 1.9.3 až po 2.7 vrátane. Bug je v projekte takmer 11 rokov, od mája 2015, ale bol identifikovaný až teraz. V podstate ide o klasický príklad staršej školy zraniteľnosti, kde nebezpečný reťazec bez filtrácie je prenášaný systémovému nástroju s privilégiami root.
Autori oznámenia priamo odporúčajú vôbec nepoužívať telnetd, obmedziť prístup k telnet portu len na dôveryhodných klientov a čo najrýchlejšie nainštalovať opravu alebo prejsť na verziu, v ktorej bol problém odstránený. Dočasným riešením môže byť úplné vypnutie telnetd alebo použitie vlastnej verzie login, ktorá nepodporuje parameter „-f“.
Zraniteľnosť objavil výskumník Carlos Cortes Álvarez, oprava bola pripravená a dopracovaná vývojármi GNU InetUtils v januári 2026. Opravy zahŕňajú sanitizáciu všetkých premenných, ktoré sa používajú pri formovaní príkazu login, aby bolo takéto útoky principiálne nemožné.
Príbeh vyzerá takmer symbolicky: zastaraný protokol, zabudovaná služba a klasická logická chyba viedli k úplnej kompromitácii systému. Ďalšie pripomienka, že aj „staré“ technológie môžu naďalej predstavovať reálnu hrozbu, ak sú stále v prevádzke.
Ihneď po zverejnení informácií o zraniteľnosti tím výskumníkov nasadil honeypot senzory, aby sledoval skutočné pokusy o zneužitie. Útočníci na seba nedali dlho čakať. Počas 18 hodín pozorovaní bolo zaznamenaných 60 pokusov o hackovanie od 18 jedinečných IP adresy. Podľa údajov platformy Censys bolo potenciálne zraniteľných približne tri tisícky systémov po celom svete, hoci značná časť z nich pravdepodobne tiež bola honeypot nástrahami.
Analýza zachytenej prevádzky ukázala veľmi pestrú situáciu. Najaktívnejší bol útočník z adresy 178.16.53.82, ktorý vykonal 12 relácií proti 10 rôznym cieľom. Jeho činnosti boli úplne automatizované: po získaní prístupu sa spustil štandardný súbor príkazov na prieskum ako napríklad uname -a, id, čítanie /proc/cpuinfo a /etc/passwd. Charakteristickým rysom sa stalo obalenie výstupu príkazov špeciálnymi značkami pre následné spracovanie, čo jasne naznačuje botnet alebo automatizovaný systém zberu dát.
Oveľa sofistikovanejší bol útočník z adresy 216.106.186.24. Zameral sa na konkrétnu podsiete a snažil sa nastaviť SSH kľúč pre trvalý prístup, ako aj nahrať a spustiť Python skript z externého servera – predpokladá sa, že ide o malware na kryptomining alebo botnet. Pravda, oba pokusy zlyhali: na cieľovom systéme neexistoval adresár .ssh a taktiež chýbali curl a python.
Osobitný záujem vyvolávajú dvaja útočníci s adresami 167.172.111.135 a 165.22.30.48. Na rozdiel od ostatných sa okamžite nepokúsili získať root prístup, ale experimentovali s účtami nobody, daemon a dokonca aj neexistujúcou nonexistent123. oneskorenia medzi reláciami a logika ich akcií naznačujú, že za klávesnicou je živý človek. Pravdepodobne ide o skúsenejších hackerov, ktorí vedia o systémoch na detekciu vniknutia a majú v zásobe techniky na zvyšovanie privilégií.
Niektorí útočníci ukázali ohromujúcu nedbanlivosť v prevádzkovom zabezpečení. Napríklad útočník z adresy 67.220.95.16 používal tú istú IP adresu na vykonávanie útokov aj na hostenie servera s malvérom. Iní náhodou odhalili názvy svojich hostiteľov prostredníctvom premennej DISPLAY: jeden pracoval na systéme s názvom MiniBear, iný na virtuálnej stroji shared-vm2.localdomain, a tretí sa dokonca pripájal priamo z plnohodnotného grafického prostredia Kali Linux.
Celkovo bol úroveň útočníkov celkom nízka. Z 18 zdrojov útokov len niekoľko vykázalo znaky profesionality. Väčšina využívala najjednoduchšie automatizované nástroje alebo doslova poklepávala na klávesnici, riadiac sa pokynmi z internetu. Systém detekcie narušenia Suricata úspešne zachytil moment získania root prístupu jedným z útočníkov, čo opäť potvrdzuje dôležitosť viacúrovňovej ochrany a monitorovania sieťového prenosu.
Výskumníci poznamenávajú, že táto zraniteľnosť, na jednej strane, dala príležitosť hackerom-amatérom precvičiť sa, a na druhej strane, umožnila odborníkom na bezpečnosť zhromaždiť cenné údaje o aktuálnych taktikách a nástrojoch zločincov.
Podrobnejšie: https://www.securitylab.ru/news/568478.php
Zdroj: linux.org.ru
