Vulnerabilità Critica di 11 Anni: Telnet in Pericolo, Hacker Sfruttano la Porta Aperta

ANALISI TECNICA

La campagna coordinata osservata si concentra su una vulnerabilità di gravità critica recentemente scoperta nel server telnetd di GNU InetUtils, presente da 11 anni.

Il problema di sicurezza è identificato come CVE-2026-24061 e segnalato il 20 gennaio. La sua sfruttabilità è semplice e sono disponibili esempi di exploit pubblici.

Vulnerabilità persistente dal 2015

Il contributor open-source Simon Josefsson spiega che il componente telnetd di GNU InetUtils contiene una vulnerabilità di bypass dell'autenticazione remota causata da un'elaborazione non sanitizzata delle variabili d'ambiente durante l'esecuzione di '/usr/bin/login'.

Il difetto si verifica perché telnetd passa la variabile d'ambiente USER controllata dall'utente direttamente a login(1) senza sanitarizzazione. Impostando USER a -f root e collegandosi con il comando telnet -a, un attaccante può saltare l'autenticazione e ottenere l'accesso root.

Impatto e Mitigation

La vulnerabilità colpisce le versioni di GNU InetUtils da 1.9.3 (rilasciata nel 2015) fino a 2.7, ed è stata corretta nella versione 2.8. Per coloro che non possono aggiornare alla versione sicura, le strategie di mitigamento includono lo smantellamento del servizio telnetd o il blocco della porta TCP 23 su tutti i firewall.

GNU InetUtils e Telnet

GNU InetUtils è una raccolta di strumenti client e server di rete classici (telnet/telnetd, ftp/ftpd, rsh/rshd, ping, traceroute) gestita dal GNU Project, utilizzata in diversi distribuzioni Linux.

Sebbene Telnet sia un componente obsoleto e poco sicuro, largamente sostituito da SSH, molti sistemi Linux e Unix lo includono ancora per motivi di compatibilità o esigenze specifiche. È particolarmente diffuso nel settore industriale a causa della sua semplicità e basso carico di lavoro.

Sui dispositivi legacy ed embedded, può funzionare senza aggiornamenti per oltre un decennio, spiegando la sua presenza in dispositivi IoT, telecamere, sensori industriali e reti OT (Operational Technology).

Impatto nel contesto OT/ICS

Cristian Cornea di Zerotak, una società di servizi di test di penetrazione e sicurezza informatica, ha dichiarato a BleepingComputer che i sistemi critici sono difficili da sostituire negli ambienti OT/ICS. Secondo il ricercatore, questo è talvolta impossibile perché gli aggiornamenti richiedono operazioni di riavvio. "Di conseguenza, incontriamo ancora sistemi in esecuzione con server Telnet, e anche se si tentasse di sostituirli con protocolli più sicuri come SSH, ciò non è fattibile a causa dei sistemi legacy che rimangono in esercizio."

Utilizzo tecnico di Telnet

Altri utenti tecnici ancora si affidano a Telnet per alcuni progetti: un utente ha confermato l'utilizzo di Telnet "per connettersi a dispositivi Cisco più vecchi che sono ben oltre la fine del ciclo di vita. Stesso problema SSH."

Attività di sfruttamento reale

Nonostante i dispositivi esposti su Internet che hanno ancora Telnet attivo siano scarsi, molti ricercatori descrivono la vulnerabilità CVE-2026-24061 come meno critica. La società di monitoraggio delle minacce GreyNoise riporta di aver rilevato attività di sfruttamento reale che utilizzano CVE-2026-24061 contro un piccolo numero di endpoint vulnerabili.

L'attività, registrata tra il 21 e il 22 gennaio, è originata da 18 indirizzi IP di attacco unici in 60 sessioni Telnet, tutte considerate al 100% dannose, inviando 1.525 pacchetti per un totale di 101,6 KB.

Gli attacchi abusano dell'opzione di negoziazione IAC di Telnet per iniettare 'USER=-f ' e concedere l'accesso alla shell senza autenticazione. GreyNoise afferma che la maggior parte dell'attività sembra automatizzata, sebbene abbia rilevato alcuni casi "di un utente umano al tastiera".

Gli attacchi hanno variato in velocità terminale, tipo e valori X11 DISPLAY, ma nell'83,3% dei casi hanno mirato all'utente 'root'.

Nella fase post-sfruttamento, gli attaccanti hanno condotto ricognizioni automatizzate e hanno tentato di persistere le chiavi SSH e di implementare malware Python. GreyNoise riferisce che questi tentativi sono falliti sui sistemi osservati a causa di binari o directory mancanti.

Sebbene l'attività di sfruttamento sembri limitata in termini di portata e successo, è comunque importante essere consapevoli di questa vulnerabilità e prendere le misure necessarie per proteggere i propri sistemi.

Contesto: DI MERCATO/SICUREZZA

Un'ondata di attacchi coordinati ha colpito un vulnerabilità critica recentemente divulgata nel server telnetd di GNU InetUtils, presente da 11 anni. La vulnerabilità, tracciata come CVE-2026-24061 e segnalata il 20 gennaio, è facile da sfruttare e sono disponibili esempi di exploit pubblicamente.

• Vulnerabilità persistente dal 2015: Un contributor open-source (Simon Josefsson) spiega che il componente telnetd di GNU InetUtils contiene una vulnerabilità di bypass dell'autenticazione remota causata dalla gestione non sanitizzata delle variabili d'ambiente durante l'esecuzione di '/usr/bin/login'.
• Sfruttamento semplice: La vulnerabilità si verifica perché telnetd passa la variabile d'ambiente utente (USER) direttamente a login(1) senza sanificazione. Impostando USER a -f root e connettersi con il comando telnet -a, un attaccante può bypassare l'autenticazione e ottenere l'accesso root.
• Impatto su GNU InetUtils: La vulnerabilità colpisce le versioni di GNU InetUtils 1.9.3 (rilasciata nel 2015) attraverso la 2.7, e è stata corretta nella versione 2.8. Per coloro che non possono aggiornare alla versione sicura, le strategie di mitigazione includono lo disabilitare il servizio telnetd o bloccare la porta TCP 23 su tutti i firewall.

GNU InetUtils è una raccolta di strumenti client e server di rete classici (telnet/telnetd, ftp/ftpd, rsh/rshd, ping, traceroute) gestiti dal GNU Project e utilizzati in diversi distribuzioni Linux. Sebbene Telnet sia un componente obsoleto e poco sicuro largamente sostituito da SSH, molti sistemi Linux e Unix lo includono ancora per motivi di compatibilità o esigenze specifiche.

In particolare è diffuso nel settore industriale a causa della sua semplicità e basso carico. Su dispositivi legacy ed embedded può funzionare senza aggiornamenti per oltre un decennio, spiegando la sua presenza in dispositivi IoT, telecamere, sensori industriali e reti OT (Operational Technology).

Cristian Cornea di Zerotak, una società di servizi di test di penetrazione e sicurezza informatica, ha dichiarato a BleepingComputer che i sistemi critici sono difficili da sostituire negli ambienti OT/ICS. Il ricercatore ha detto che questo è a volte impossibile perché gli aggiornamenti vengono accompagnati da operazioni di riavvio. "Di conseguenza, incontriamo ancora sistemi in esecuzione con server Telnet e, anche se si provasse a sostituirli con protocolli più sicuri come SSH, ciò non è fattibile a causa dei sistemi legacy che rimangono in funzione."

Altri utenti tecnici ancora utilizzano Telnet per alcuni progetti:

Nonostante la scarsità di dispositivi esposti su internet pubblico con Telnet attivo, molti ricercatori descrivono la vulnerabilità CVE-2026-24061 come meno critica. La società di monitoraggio delle minacce GreyNoise riferisce di aver rilevato attività di sfruttamento reale basata sulla CVE-2026-24061 contro un piccolo numero di endpoint vulnerabili.

L'attività, registrata tra il 21 e il 22 gennaio, è originata da 18 indirizzi IP di attaccanti unici attraverso 60 sessioni Telnet, tutte considerate al 100% dannose, inviando 1.525 pacchetti per un totale di 101,6 KB. Gli attacchi abusano dell'opzione di negoziazione IAC di Telnet per iniettare 'USER=-f ' e concedere l'accesso shell senza autenticazione.

GreyNoise afferma che la maggior parte dell'attività sembra automatizzata, anche se ha rilevato alcuni casi "di un utente umano al tastiera". Gli attacchi variavano nella velocità del terminale, nel tipo e nei valori X11 DISPLAY, ma nell'83,3% dei casi hanno mirato all'utente 'root'.

Nella fase post-sfruttamento, gli attaccanti hanno condotto ricognizioni automatizzate e hanno tentato di persistere le chiavi SSH e di implementare malware Python. GreyNoise riferisce che questi tentativi sono falliti sui sistemi osservati a causa della mancanza di binari o directory.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

Una campagna coordinata starebbe sfruttando una vulnerabilità di criticità elevata recentemente scoperta nel server telnetd di GNU InetUtils, presente da 11 anni. La questione di sicurezza è identificata come CVE-2026-24061 e segnalata il 20 gennaio. La sua sfruttabilità è semplice e sono disponibili esempi di exploit pubblici.

Il componente telnetd di GNU InetUtils presenta una vulnerabilità di bypass dell'autenticazione remota causata dalla gestione non sanitizzata delle variabili d'ambiente durante l'esecuzione di '/usr/bin/login'. Il difetto si verifica perché telnetd passa la variabile d'ambiente USER, controllata dall'utente, direttamente a login(1) senza sanificazione. Impostando USER a -f root e connetendosi con il comando telnet -a, un attaccante può saltare l'autenticazione e ottenere l'accesso root.

La vulnerabilità colpisce le versioni GNU InetUtils 1.9.3 (rilasciata nel 2015) fino a 2.7, ed è stata corretta nella versione 2.8. Per coloro che non possono aggiornare alla versione sicura, le strategie di mitigazione includono la disabilitazione del servizio telnetd o il blocco della porta TCP 23 su tutti i firewall.

GNU InetUtils è una raccolta di strumenti client e server di rete classici (telnet/telnetd, ftp/ftpd, rsh/rshd, ping, traceroute) gestita dal GNU Project e utilizzata in diversi distributi Linux. Sebbene Telnet sia un componente obsoleto e poco sicuro, largamente sostituito da SSH, molti sistemi Linux e Unix lo includono ancora per compatibilità o esigenze di utilizzo specializzato. È particolarmente diffuso nel settore industriale a causa della sua semplicità e basso overhead.

Su dispositivi legacy ed embedded, può funzionare senza aggiornamenti per più di un decennio, spiegando la sua presenza in dispositivi IoT, telecamere, sensori industriali e reti OT (Operational Technology).

Nonostante la CVE-2026-24061 sia una vulnerabilità critica presente da 11 anni, l'attività di sfruttamento rilevata ad oggi è limitata. Sebbene gli attacchi siano automatizzati e mirino principalmente all'utente 'root', le loro azioni post-sfruttamento sono risultate fallimentari a causa della mancanza di binari o directory necessari.

• La scarsa diffusione di sistemi con Telnet attivo su internet contribuisce a rendere la vulnerabilità meno critica.
• L'utilizzo di Telnet in ambienti industriali e legacy rappresenta un rischio persistente, nonostante la sua obsolescenza.
• Gli sforzi per aggiornare i sistemi verso protocolli più sicuri come SSH sono cruciali per mitigare questo rischio.