Falla crítica en GNU InetUtils telnetd permite bypass de autenticación y acceso root remoto

Una vulnerabilidad crítica fue revelada en el daemon telnetd de GNU InetUtils que permaneció sin detectar durante casi 11 años. La falla permite a atacantes remotos evadir el proceso de autenticación y obtener acceso root en sistemas vulnerables.

La vulnerabilidad está registrada como CVE-2026-24061 y recibió una puntuación CVSS de 9.8/10, reflejando su severidad crítica. Afecta a todas las versiones de GNU InetUtils desde la 1.9.3 hasta la 2.7 inclusive.

Detalles técnicos de la vulnerabilidad

Según la descripción publicada en la NIST National Vulnerability Database, el problema radica en que telnetd no sanitiza correctamente la variable de entorno USER antes de pasarla al binario /usr/bin/login, el cual se ejecuta con privilegios de root.

El flujo vulnerable funciona de la siguiente manera:

• El servidor telnetd invoca login(1) pasando como último parámetro el valor de la variable USER recibido desde el cliente.

• Si un cliente envía un valor cuidadosamente construido como -f root en la variable USER.

• Y utiliza el parámetro telnet -a o --login.

• El binario login(1) interpreta -f como una opción válida para omitir la autenticación.

• El resultado es un inicio de sesión automático como root, sin credenciales.

El problema se produce porque login(1) permite el uso del parámetro -f para saltar la autenticación, y telnetd no filtra ni valida ese input antes de reenviarlo.

Origen y descubrimiento

El mantenedor de GNU, Simon Josefsson, explicó en la lista de correo oss-security que la vulnerabilidad fue introducida en un commit del 19 de marzo de 2015, incluido posteriormente en la versión 1.9.3, liberada el 12 de mayo de 2015.

El fallo fue descubierto y reportado el 19 de enero de 2026 por el investigador de seguridad Kyu Neushwaistein (Carlos Cortes Álvarez), quien recibió el crédito oficial por el hallazgo.

Explotación activa y contexto de amenaza

Datos de inteligencia de amenazas de la firma GreyNoise indican que 21 direcciones IP únicas intentaron explotar activamente esta vulnerabilidad en las últimas 24 horas.

Las IPs observadas —todas marcadas como maliciosas— se originan en:

• Hong Kong

• Estados Unidos

• Japón

• Países Bajos

• China

• Alemania

• Singapur

• Tailandia

Esto sugiere que el fallo ya está siendo integrado en campañas de explotación reales, especialmente contra sistemas legacy que aún exponen servicios Telnet.

Mitigaciones y recomendaciones

Las acciones recomendadas para reducir el riesgo incluyen:

• Aplicar inmediatamente los parches oficiales de GNU InetUtils.

• Restringir el acceso de red al puerto Telnet solo a clientes confiables.

• Deshabilitar completamente telnetd, si no es estrictamente necesario.

• Como workaround temporal, configurar telnetd para usar un binario login(1) personalizado que no acepte el parámetro -f.

En entornos modernos, el uso de Telnet representa un riesgo estructural. Esta vulnerabilidad refuerza la necesidad de migrar a protocolos seguros como SSH y auditar servicios heredados expuestos en producción.