Peretas mengeksploitasi kelemahan bypass autentikasi telnetd yang kritis untuk mendapatkan root

Sebuah kampanye terkoordinasi telah diamati menargetkan kerentanan tingkat keparahan kritis yang baru-baru ini diungkapkan dan telah ada di server telnetd GNU InetUtils selama 11 tahun.

Masalah keamanan dilacak sebagai CVE-2026-24061 dan dilaporkan pada tanggal 20 Januari. Penggunaannya sangatlah mudah dan beberapa contoh eksploitasi tersedia untuk umum.

Bug masih ada sejak 2015

Kontributor sumber terbuka Simon Josefsson menjelaskan bahwa komponen telnetd dari GNU InetUtils mengandung kerentanan bypass autentikasi jarak jauh yang disebabkan oleh penanganan variabel lingkungan yang tidak bersih ketika memunculkan ‘/usr/bin/login.’

Cacat ini terjadi karena telnetd meneruskan variabel lingkungan USER yang dikontrol pengguna secara langsung ke login(1) tanpa sanitasi. Dengan mengatur USER ke -f akar dan menghubungkan dengan telnet-a perintah, penyerang dapat melewati otentikasi dan mendapatkan akses root.

Masalah ini mempengaruhi GNU InetUtils versi 1.9.3 (dirilis pada tahun 2015) hingga 2.7, dan telah ditambal pada versi 2.8. Bagi mereka yang tidak dapat melakukan upgrade ke rilis aman, strategi mitigasinya termasuk menonaktifkan layanan telnetd atau memblokir port TCP 23 di semua firewall.

GNU InetUtils adalah kumpulan alat klien dan server jaringan klasik (telnet/telnetd, ftp/ftpd, rsh/rshd, ping, traceroute) yang dikelola oleh Proyek GNU, dan digunakan di berbagai distribusi Linux.

Meskipun Telnet tidak aman, komponen lama sebagian besar digantikan oleh SSH, banyak sistem Linux dan Unix yang masih menyertakannya untuk kompatibilitas atau kebutuhan penggunaan khusus. Hal ini lazim terjadi di sektor industri karena kesederhanaannya dan biaya overhead yang rendah.

Pada perangkat lama dan tertanam, ini dapat berjalan tanpa pembaruan selama lebih dari satu dekade, menjelaskan kehadirannya di perangkat IoT, kamera, sensor industri, dan jaringan Teknologi Operasional (OT).

Cristian Kornea dari Zerotak, sebuah perusahaan pengujian penetrasi dan layanan keamanan siber, mengatakan kepada BleepingComputer bahwa sistem penting sulit digantikan di lingkungan OT/ICS.

Peneliti mengatakan bahwa hal ini terkadang tidak mungkin karena pemutakhiran disertai dengan operasi reboot. “Akibatnya, kami masih menemukan sistem yang menjalankan server Telnet, dan bahkan jika Anda mencoba menggantinya dengan protokol yang lebih aman seperti SSH, hal ini tidak dapat dilakukan karena sistem lama masih beroperasi.”

Pengguna teknis lainnya masih mengandalkan telnet untuk beberapa proyek:

Pengguna lain dikonfirmasi penggunaan telnet “untuk terhubung ke perangkat Cisco lama yang sudah melewati “End of Life.” Masalah SSH yang sama.”

Namun, perangkat yang terekspos di internet publik dan masih memiliki telnet aktif sangatlah langka, sehingga mendorong banyak peneliti untuk menggambarkan kerentanan CVE-2026-24061 sebagai kerentanan yang kurang kritis.

Perusahaan pemantau ancaman Laporan GreyNoise bahwa mereka telah mendeteksi aktivitas eksploitasi dunia nyata yang memanfaatkan CVE-2026-24061 terhadap sejumlah kecil titik akhir yang rentan.

Aktivitas tersebut, yang dicatat antara tanggal 21 dan 22 Januari, berasal dari 18 IP penyerang unik di 60 sesi Telnet, semuanya dianggap 100% berbahaya, mengirimkan 1.525 paket dengan total 101,6 KB.

Serangan tersebut menyalahgunakan negosiasi opsi Telnet IAC untuk memasukkan ‘USER=-f ‘ dan memberikan akses shell tanpa otentikasi. GreyNoise mengatakan sebagian besar aktivitas tampak otomatis, meskipun ada beberapa kasus “manusia-di-keyboard”.

Serangannya bervariasi dalam kecepatan terminal, jenis, dan nilai DISPLAY X11, namun pada 83,3% kasus, serangan tersebut menargetkan pengguna ‘root’.

Pada fase pasca-eksploitasi, penyerang melakukan pengintaian otomatis dan berusaha mempertahankan kunci SSH dan menyebarkan malware Python. GreyNoise melaporkan bahwa upaya ini gagal pada sistem yang diamati karena hilangnya biner atau direktori.

Meskipun aktivitas eksploitasi tampaknya terbatas dalam cakupan dan keberhasilannya, sistem yang berpotensi terkena dampak harus diperbaiki atau diperkuat sesuai dengan rekomendasi sebelum penyerang mengoptimalkan rantai serangannya.