Explotan vulnerabilidad en telnetd para acceso root – PoC público lanzado

Se ha observado la explotación activa de una vulnerabilidad crítica de omisión de autenticación en el servidor telnetd de GNU InetUtils (CVE-2026-24061), que permite a atacantes no autenticados obtener acceso root en sistemas Linux. La vulnerabilidad, que afecta a las versiones 1.9.3 hasta 2.7 de GNU InetUtils, posibilita la ejecución remota de código manipulando la variable de entorno USER transmitida durante la conexión Telnet

Se ha observado la explotación activa de una vulnerabilidad crítica de bypass de autenticación en el servidor telnetd de GNU InetUtils (CVE-2026-24061), que permite a atacantes no autenticados obtener acceso root en sistemas Linux.

La vulnerabilidad, que afecta a las versiones 1.9.3 hasta 2.7 de GNU InetUtils, posibilita la ejecución remota de código al manipular la variable de entorno USER durante la fase de negociación de Telnet.

Grey Noise ha detectado una campaña coordinada de explotación dirigida a servicios Telnet (TCP/23) utilizando el fallo de bypass de autenticación en telnetd -f.

El ataque aprovecha una vulnerabilidad de inyección de comandos donde el demonio Telnet pasa una variable de entorno USER sin sanitizar al binario /usr/bin/login. Al suministrar el valor -f root, los atacantes obligan al programa de inicio de sesión a tratar la sesión como preautenticada, omitiendo todas las comprobaciones de credenciales y otorgando una shell root inmediata.

 

Un análisis reciente del tráfico en honeypots ha capturado 60 intentos únicos de explotación desde 18 direcciones IP de origen distintas. Estos ataques van desde escaneos oportunistas hasta mecanismos de persistencia dirigidos, incluyendo la inyección de claves SSH y la implementación de malware.

Vulnerabilidad en telnetd CVE-2026-24061

La vulnerabilidad reside en la forma en que telnetd invoca el programa login. Normalmente, telnetd ejecuta /usr/bin/login (corriendo como root) y pasa la variable USER suministrada por el cliente como argumento final.

El flujo de explotación procede de la siguiente manera:

1. Negociación: El atacante inicia una conexión Telnet y envía una variable ENVIRON maliciosa.
2. Inyección: La variable USER se establece en -f root.
3. Ejecución: telnetd ejecuta login -p -h <host> -f root.
4. Bypass: La bandera -f instruye a login para omitir la autenticación del usuario especificado (root), otorgando una shell.

El análisis del tráfico de ataques capturado revela patrones distintos en el comportamiento de los atacantes. La fuente más prolífica, 178.16.53[.]82, registró 12 sesiones dirigidas a 10 sistemas únicos, utilizando una configuración de payload consistente (9600 baudios, XTERM-256COLOR).

Los atacantes están empleando diversas configuraciones de payload para evadir la detección simple por firmas:

• Velocidad del Terminal: 38400 baudios y 9600 baudios son comunes, aunque algunos ataques negocian 0,0 (sin velocidad).
• Tipo de Terminal: Los payloads varían entre el estándar XTERM-256COLOR, el modo de compatibilidad xterm-256color y tipos genéricos UNKNOWN.
• Usuarios Objetivo: Aunque root es el objetivo principal (83% de los intentos), se han observado sondeos para nobody, daemon y usuarios aleatorios como nonexistent123.

Al obtener acceso, los atacantes ejecutan inmediatamente comandos de reconocimiento (uname -a, id, cat /etc/passwd), a menudo envueltos en delimitadores (por ejemplo, S…EU…blah) para su análisis automatizado por infraestructuras de C2.

Actores más avanzados intentan establecer persistencia. Una campaña desde 216.106.186[.]24 intentó añadir una clave RSA de 3072 bits a ~/.ssh/authorized_keys. Este mismo actor también intentó descargar un payload en Python de segunda etapa (apps[.]py) desde un servidor de distribución, lo que indica un posible intento de reclutamiento para una botnet.

ID de CVE	Severidad	Puntuación CVSS	Versiones Afectadas
CVE-2026-24061	Crítica	9.8 (Crítica)	GNU InetUtils 1.9.3 – 2.7

Indicadores de Compromiso (IOCs)

Tipo de Indicador	Valor	Contexto
IP del Atacante	178.16.53[.]82	Fuente principal (12 sesiones), Reconocimiento
IP del Atacante	216.106.186[.]24	Inyección de Clave SSH, Descarga de Malware
IP del Atacante	67.220.95[.]16	Distribución de Malware, Explotación
IP del Atacante	156.238.237[.]103	Acceso Root Confirmado (Alerta de IDS)
URL de Malware	http://67.220.95[.]16:8000/apps.py	Entrega de Payload en Python
Nombre de Archivo	apps[.]py	Payload de segunda etapa
Comentario de Clave SSH	root@s51865.vps[.]hosting	Asociado a intentos de persistencia

Fuentes:
https://cybersecuritynews.com/telnetd-vulnerability-exploited/