Inlogg, mellanslag, bindestreck, root. Ett bug i telnet tillåter att ta kontroll över datorn utan lösenord.

Sårbarheten i GNU InetUtils-paketet påverkar alla versioner från 1.9.3 till och med 2.7.

Det kan tyckas som att telnet länge har blivit en del av det förflutna tillsammans med modem och dial-up, men plötsligt har det blivit källan till en allvarlig sårbarhet. En bugg har upptäckts i GNU InetUtils som gör att en angripare kan logga in som root utan lösenord, genom att bara skicka ett särskilt formaterat värde av miljövariabeln.

Problemet berör telnetd-servern som ingår i GNU InetUtils. Den skickar försöksprogrammet login ett värde av variabeln USER, som den fått från klienten, utan någon form av kontroll. Detta kan utnyttjas om klienten skickar strängen "-f root" som USER och ansluter med parametern telnet -a eller -login. Som resultat uppfattar login detta som en tjänsteflagga, hoppar över standardautentiseringen och godkänner automatiskt användaren som root.

Sårbarheten har fått identifieraren CVE-2026-24061 och en CVSS-poäng på 9.8. Alla versioner av GNU InetUtils, från 1.9.3 till och med 2.7, är i fara. Buggen har funnits i projektet i nästan 11 år, sedan maj 2015, men har upptäckts först nu. I grunden är detta ett klassiskt exempel på en gammaldags sårbarhet, där en farlig sträng utan filtrering överförs till en systemnytta med root-behörighet.

Författarna till advisory rekommenderar starkt att man helt undviker att använda telnetd, begränsar tillgången till telnet-porten endast för betrodda klienter och snabbt installerar en patch eller uppgraderar till den version där problemet har åtgärdats. En tillfällig lösning kan vara att helt stänga av telnetd eller använda en anpassad version av login som inte stöder parametern "-f".

Sårbarheten upptäcktes av forskaren Carlos Cortes Alvarez, och en patch förbereddes och finslipades av utvecklarna av GNU InetUtils i januari 2026. Korrigeringarna innehåller sanering av alla variabler som används vid bildandet av login-anropet för att sådana attacker i princip skall bli omöjliga.

Historien verkar nästan symbolisk: ett föråldrat protokoll, en bortglömd tjänst och ett klassiskt logiskt misstag har lett till en fullständig kompromiss av systemet. Ännu en påminnelse om att även "gamla" teknologier kan utgöra ett verkligt hot om de fortfarande används i produktion.

Strax efter publiceringen av information om sårbarheten implementerade forskarteamet honeypot-sensorer för att spåra verkliga utnyttjandeförsök. Angriparna lät inte vänta på sig. Under 18 timmars observationer registrerades 60 hackförsök från 18 unika källor. IP-adresser. Enligt plattformen Censys var omkring tre tusen system potentiellt sårbara världen över, även om en betydande del av dem sannolikt också var honeypot-fällor.

Analysen av den fångade trafiken visade en mycket färgglad bild. Den mest aktiva angriparen kom från adressen 178.16.53.82, som genomförde 12 sessioner mot 10 olika mål. Deras aktiviteter var helt automatiserade: efter att ha fått tillgång startades en standarduppsättning kommandon för undersökning såsom uname -a, id, läsning av /proc/cpuinfo och /etc/passwd. En karaktäristisk drag var att kommandoutgången omgärdades av speciella markörer för senare parsing, vilket tydligt indikerar på ett botnät eller ett automatiserat datainsamlingssystem.

Mer sofistikerad var den illgärningsman som kom från adressen 216.106.186.24. Han fokuserade på ett specifikt nätverk och försökte ställa in en SSH-nyckel för permanent åtkomst, samt ladda ner och köra ett Python-skript från en extern server - förmodligen skadlig programvara för kryptovaluta-utvinning eller ett botnät. Båda försöken misslyckades dock: i det målsystemet fanns ingen .ssh-katalog, och curl och python saknades.

Två angripare med adresserna 167.172.111.135 och 165.22.30.48 väcker särskilt intresse. Till skillnad från de andra försökte de inte genast få root-åtkomst, utan experimenterade istället med kontona nobody, daemon och även den icke-existerande nonexistent123. Fördröjningarna mellan sessionerna och logiken i deras handlingar indikerar en levande människa bakom tangentbordet. Sannolikt är detta mer erfarna hackare som känner till intrångsdetektionssystem och har en arsenal av tekniker för att höja sina privilegier.

Vissa angripare har visat en anmärkningsvärd nonchalans när det gäller operativ säkerhet. Till exempel använde en skurk med IP-adress 67.220.95.16 samma IP både för att utnyttja sårbarheter och för att driva en server med skadlig programvara. Andra avslöjade av misstag sina värdnamn genom variabeln DISPLAY: en arbetade från ett system som kallades MiniBear, en annan från en virtuell maskin kallad shared-vm2.localdomain, och en tredje loggade in direkt från en fullständig grafisk miljö av Kali Linux.

Överlag visade nivån på angriparna sig vara ganska låg. Av 18 attackkällor visade endast några få tecken på professionalism. De flesta använde grundläggande automatiserade verktyg eller tryckte bokstavligt talat på tangenterna, följande instruktioner från internet. Intrångsdetekteringssystemet Suricata fångade framgångsrikt ögonblicket då en av angriparna fick root-åtkomst, vilket ytterligare bekräftar vikten av flerskikts skydd och övervakning av nätverkstrafik.

Forskarna noterar att denna sårbarhet, å ena sidan, gav amatörhacker möjlighet att öva, och å andra sidan, tillät säkerhetsspecialister att samla in värdefull information om aktuella taktik och verktyg som används av angripare.

Läs mer: https://www.securitylab.ru/news/568478.php

Källa: linux.org.ru