Një vulnerabilitet në paketën GNU InetUtils ka prekur të gjitha versionet nga 1.9.3 deri në 2.7 përfshirë.
Megjithëse telnet duket se është lënë pas në histori bashkë me modemët dhe dial-up, ai papritur ka u bërë burim i një vulnerabiliteti të rëndësishëm. Në GNU InetUtils është zbuluar një gabim që lejon hyrjen në sistem si root pa fjalëkalim, thjesht duke dërguar një vlerë të formatuar veçmas për variablin e mjedisit.
Problemi prek serverin telnetd, që është pjesë e GNU InetUtils. Ai i kalon programit login vlerën e variablit USER, të marrë nga klienti, pa asnjë kontroll. Kjo mund të shfrytëzohet nëse klienti dërgon stringun "-f root" si USER dhe lidhet me parametrin telnet -a ose –login. Si rezultat, login e percepton këtë si një flamur dhe kalon procedurën standarde të autentifikimit, duke e autorizuar automatikisht përdoruesin si root.
Vulnerabiliteti ka marrë identifikimin CVE-2026-24061 dhe vlerësimin CVSS: 9.8. Të gjitha versionet e GNU InetUtils, duke filluar nga 1.9.3 deri në 2.7 përfshirë, janë nën kërcënim. Gabimi ka qenë i pranishëm në projekt për thuajse 11 vjet, që nga maji 2015, por është zbuluar vetëm tani. Në esencë, kjo është një shembull klasik i një vulnerabiliteti të shkollës së vjetër, ku një string i rrezikshëm pa filtrimin kalon tek utilita sistemike me privilegje root.
Autorët e advisory-t rekomandojnë drejtpërdrejt të mos përdoret fare telnetd, të kufizohet qasja në portin telnet vetëm për klientët e besuar dhe sa më shpejt të instalohen përmirësime ose të azhurnohet në një version që e ka zgjidhur problemin. Një zgjidhje e përkohshme mund të jetë çaktivizimi i plotë i telnetd ose përdorimi i një versioni të personalizuar të login, që nuk mbështet parametrin "-f".
Vulnerabilitetin e ka zbuluar studiuesi Carlos Cortes Alvarez, patches janë përgatitur dhe përmirësuar nga zhvilluesit e GNU InetUtils në janar 2026. Rregullimet përfshijnë sanitizimin e të gjitha variablave që përdoren gjatë formimit të komandës së thirrjes login, për të bërë të pamundur të tilla sulme në thelb.
Historia duket thuajse simbolike: një protokoll i vjetruar, një shërbim i harruar dhe një gabim logjik klasik çuan në një kompromitim të plotë të sistemit. Një tjetër kujtesë se edhe teknologjitë "e vjetra" mund të mbeten një kërcënim real, nëse ato ende operojnë në prodhim.
Menjëherë pas publikimit të informacionit mbi vulnerabilitetin, ekipi i studiuesve vendosi sensorë honeypot për të ndjekur përpjekjet reale të shfrytëzimit. Sulmuesit nuk e vonuan vetën. Gjatë 18 orëve të vëzhgimit, u regjistruan 60 përpjekje për thyerje nga 18 unike. IP-adresave. Sipas platformës Censys, rreth tri mijë sisteme në të gjithë botën rezultuan potencialisht të prekura, megjithatë një pjesë e madhe e tyre, me shumë gjasa, ishin gjithashtu ngritje honeypot.
Analiza e trafikut të kapur tregoi një pamje shumëngjyrëshe. Sulmuesi më aktiv doli të ishte ai me adresën 178.16.53.82, i cili kreu 12 sesione ndaj 10 objektivave të ndryshme. Veprimet e tij ishin tërësisht të automatizuara: pas marrjes së aksesit, nisi një grup standard komandash si uname -a, id, leximi /proc/cpuinfo dhe /etc/passwd. Një karakteristikë e dukshme ishte mbështjellja e daljes së komandave me markerë specifikë për analizimin e mëvonshëm, që tregon qartë për një botnet ose një sistem automatizimi të grumbullimit të të dhënave.
Një sulmues më i sofistikuar rezultoi të ishte ai me adresën 216.106.186.24. Ai u përqendrua në një subnet të caktuar dhe përpiqej të vendoste një çelës SSH për akses të përhershëm, si dhe të ngarkonte dhe aktivizonte një skenar Python nga një server i jashtëm — me sa duket, një softuer i keq për minimin e kriptovalutave ose botnet. Megjithatë, të dy përpjekjet dështuan: në sistemin objektiv nuk ekzistonte direktoria .ssh, si dhe mungonin curl dhe python.
Një interes të veçantë paraqesin dy sulmues me adresat 167.172.111.135 dhe 165.22.30.48. Ndryshe nga të tjerët, ata nuk përpoqën menjëherë të merrnin akses root, por eksperimentuan me llogaritë nobody, daemon dhe madje edhe nonexistent123 që nuk ekzistonte. Ndërmjetesh të rritura mes sesioneve dhe logjika e veprimeve sugjerojnë se një person i gjallë po punonte pas tastierës. Me siguri, këta janë hakerë më të përvojë që dinë për sistemet e zbulimit të sulmeve dhe kanë në dispozicion teknika për rritjen e privilegjeve.
Disa sulmues tregonin një neglizhencë të jashtëzakonshme në sigurimin operacional. Për shembull, sulmuesi me adresën 67.220.95.16 përdori të njëjtin IP për shfrytëzim dhe për vendosjen e një serveri me softuer të keq. Të tjerë rastësisht zbulonin emrat e hosteve të tyre përmes variablit DISPLAY: një punonte nga sistemi që quhej MiniBear, një tjetër nga makineria virtuale shared-vm2.localdomain, dhe një i tretë madje lidhej direkt nga një ambient grafik të plotë Kali Linux.
Në përgjithësi, niveli i sulmuesve ishte mjaft i ulët. Nga 18 burime të sulmeve, vetëm disa treguan shenja profesionalizmi. Shumica përdorën mjete automatizimi të thjeshta ose thjesht goditën butonat, duke ndjekur udhëzimet nga interneti. Sistemi i zbulesës së ndërhyrjeve Suricata zbuloi me sukses momentin e marrjes së aksesit root nga një nga sulmuesit, çka e konfirmon përsëri rëndësinë e mbrojtjes shumëfishe dhe monitorimit të trafikut rrjetor.
Kërkuesit theksojnë se kjo dobësi, nga njëra anë, ofroi mundësinë për hakerat amatorë të praktikojnë, dhe nga ana tjetër, lejojti specialistët e sigurisë të mbledhin të dhëna të vlefshme mbi taktikat dhe mjetet aktuale të keqbërësve.
Më shumë: https://www.securitylab.ru/news/568478.php
Burimi: linux.org.ru
