CVE-2026-24061 : bypass auth root dans GNU telnetd (9.8)

Les faits

CVE-2026-24061, publiée le 20 janvier 2026 et notée 9.8 sur l'échelle CVSS v3.1, affecte le démon telnetd inclus dans GNU InetUtils, de la version 1.9.3 à la version 2.7. La faille réside dans le traitement de la variable d'environnement USER transmise via le protocole Telnet. Le démon insère directement cette valeur dans les arguments de la commande /usr/bin/login sans aucune validation. En positionnant la variable USER sur la chaîne -f root, un attaquant force l'utilisation du drapeau -f de login, qui désactive totalement l'authentification par mot de passe et octroie immédiatement un shell root. Le vecteur d'attaque est trivial : aucune authentification, aucune interaction utilisateur, complexité d'attaque basse. La vulnérabilité a été découverte par des chercheurs de OffSec et confirmée par le NVD avec le score maximal en confidentialité, intégrité et disponibilité.

Le CISA a ajouté cette CVE à son catalogue KEV (Known Exploited Vulnerabilities) en raison de preuves d'exploitation active dans la nature. Le Centre canadien pour la cybersécurité a également émis l'alerte AL26-002 spécifique à cette vulnérabilité. D'après les analyses de TXOne Networks, trois vagues d'attaques distinctes ont été observées depuis le 22 janvier 2026, avec une progression de la reconnaissance passive vers l'exploitation active par le groupe threat actor « rwxrwx ».

Impact et exposition

Toute organisation exploitant un service telnetd basé sur GNU InetUtils est potentiellement exposée. Cela inclut de nombreux systèmes embarqués, équipements réseau, appliances OT/ICS et distributions Linux qui maintiennent encore telnetd dans leurs dépôts. Selon les données Shodan, plus de 212 000 appareils exposent actuellement un serveur Telnet sur Internet, et environ un million d'appareils écoutent sur le port 23. L'exploitation ne requiert aucun prérequis : ni compte utilisateur, ni interaction, ni connaissance préalable de la cible. Un attaquant obtient un shell root complet en une seule requête, ce qui permet l'exfiltration de données, l'installation de portes dérobées, le pivot vers d'autres systèmes du réseau et la perturbation complète des services. Les environnements industriels et OT sont particulièrement à risque car telnetd y est souvent maintenu pour des raisons de compatibilité avec des équipements anciens.

Recommandations immédiates

• Mettre à jour GNU InetUtils vers la version 2.7-2 ou ultérieure — les correctifs sont disponibles via les gestionnaires de paquets des principales distributions Linux
• Désactiver immédiatement le service telnetd si celui-ci n'est pas strictement nécessaire et migrer vers SSH pour l'administration distante
• Bloquer le port TCP 23 au niveau du pare-feu périmétrique et des ACL réseau pour empêcher tout accès Telnet depuis l'extérieur
• Si telnetd doit être maintenu temporairement, restreindre l'accès aux seules adresses IP de confiance et configurer un outil de login personnalisé qui refuse le drapeau -f
• Rechercher des IOC dans les journaux système : connexions Telnet inhabituelles, sessions root non autorisées, présence de fichiers suspects dans /tmp

Décomposition du vecteur CVSS et détails techniques

Le vecteur CVSS v3.1 de la faille — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — traduit une exploitation réseau (AV:N) sans privilège préalable (PR:N) ni interaction utilisateur (UI:N), avec un impact maximal sur les trois piliers confidentialité, intégrité et disponibilité. Techniquement, la faille exploite une confusion classique entre donnée et commande : le démon telnetd transmet la variable USER telle quelle à /usr/bin/login via execve(), sans échappement ni liste blanche de caractères. Ce schéma rappelle la vulnérabilité historique CVE-1994-0741 dans les implémentations rlogin/telnet BSD, qui exploitait déjà l'injection d'arguments via variables d'environnement — un rappel que cette classe de bug persiste depuis plus de trente ans dans du code legacy peu audité.

Pour la détection, un script NSE Nmap personnalisé (telnet-inetutils-authbypass, disponible sur les dépôts communautaires depuis fin janvier 2026) permet de vérifier à distance si un service telnetd est vulnérable sans authentification complète. Côté hôte, la présence de connexions login réussies avec un utilisateur « root » et un champ TTY correspondant à une session pts distante, sans mot de passe saisi dans les logs PAM (/var/log/auth.log ou journalctl -u telnetd), constitue un indicateur de compromission fiable. Les équipes SOC peuvent également surveiller les tentatives de connexion Telnet suivies immédiatement d'un shell UID 0 dans les journaux d'audit système (auditd, règle sur execve de /usr/bin/login avec argument -f).

Sur le plan de la remédiation, au-delà de la mise à jour vers InetUtils 2.7-2+, il est recommandé de vérifier les correctifs distribués par les mainteneurs Debian, Ubuntu et Red Hat, ainsi que les firmwares des équipements embarqués et OT/ICS qui embarquent souvent des versions figées de BusyBox ou InetUtils sans mécanisme de mise à jour automatisé. Pour les environnements où Telnet reste indispensable (équipements industriels legacy), la mise en place d'un bastion SSH avec tunneling Telnet restreint à un VLAN de gestion isolé, couplée à une liste blanche d'adresses IP sources, limite significativement la surface d'exposition en attendant un remplacement définitif par SSH.