Uma falha crítica na rede do GNU foi identificada no daemon telnet InetUtils, permanecendo oculta por 11 anos antes de ser descoberta. Classificada como CVE-2026-24061, essa vulnerabilidade recebeu uma pontuação de 9,8 em 10, indicando um nível crítico de risco. Além disso, ela afeta todas as versões do InetUtils, desde a 1.9.3 até a 2.7, comprometendo a segurança de servidores e redes que utilizam o sistema GNU.
Como a falha crítica na rede do GNU funciona
A vulnerabilidade permite um contorno de autenticação remota por meio do valor -f root na variável de ambiente USER. De acordo com a Base de Dados Nacional de Vulnerabilidades (NIST), isso significa que hackers podem acessar servidores sem necessidade de login. Portanto, a exploração dessa falha concede acesso root, ou seja, controle total sobre o sistema alvo.
O servidor telnetd invoca o comando /usr/bin/login para processar a variável USER recebida do cliente. No entanto, ele não realiza a sanitização necessária dessa variável antes de passá-la para o login. Consequentemente, um atacante pode inserir o parâmetro -f root e ser logado automaticamente como administrador, burlando qualquer mecanismo de autenticação.
Origem e impacto da vulnerabilidade
A falha crítica na rede do GNU foi introduzida em 19 de março de 2015, através de um commit que integrou a versão 1.9.3 do sistema. Simon Josefsson, colaborador do GNU, confirmou que a vulnerabilidade permite acesso total ao sistema. Além disso, a empresa de segurança GreyNoise relatou que, nas últimas 24 horas, 21 endereços de IP tentaram explorar a falha, originários de países como Hong Kong, Estados Unidos e Japão.
Como corrigir a falha crítica na rede do GNU
Para mitigar os riscos, os usuários devem adotar as seguintes medidas:
- Aplicar patches recentes: Baixe e instale as atualizações mais recentes do InetUtils.
- Restringir o acesso ao port telnet: Limite a conexão apenas a clientes confiáveis.
- Desabilitar o servidor telnetd: Como solução temporária, desative o serviço até que a correção seja aplicada.
- Customizar o login(1): Utilize ferramentas que impeçam o uso do parâmetro -f no telnetd InetUtils.
Em conclusão, a falha crítica na rede do GNU representa um risco significativo para sistemas que dependem do InetUtils. Portanto, é essencial que administradores e usuários apliquem as correções imediatamente para evitar ataques que possam comprometer a integridade de seus servidores.