Обнаружена критическая уязвимость в telnet-сервере Inetutils, угрожающая удалённым выполнением кода

В начале марта 2026 года в Банке данных угроз безопасности информации (BDU) была зарегистрирована новая серьёзная уязвимость под идентификатором BDU:2026-03114. Данная уязвимость затрагивает telnet-сервер (telnetd), входящий в пакет сетевых утилит Inetutils от Free Software Foundation. Эксперты присвоили ей критический уровень опасности, поскольку её эксплуатация позволяет злоумышленнику получить полный контроль над уязвимой системой.

Детали уязвимости

Суть проблемы заключается в классическом переполнении буфера (CWE-120) внутри функции "add_slc()". Если кратко, эта функция копирует пользовательские данные в буфер фиксированного размера, не проверяя их длину. Следовательно, удалённый атакующий может отправить специально сформированный пакет, который вызовет переполнение. В результате злоумышленник получает возможность выполнить произвольный код на целевой системе с правами пользователя, под которым работает демон telnetd. Обычно это привилегированные учётные записи, такие как root.

Уязвимыми являются все версии Inetutils вплоть до 2.7 включительно. Стоит отметить, что протокол Telnet сам по себе считается устаревшим и небезопасным, поскольку передаёт данные, включая логины и пароли, в открытом виде. Однако его всё ещё можно встретить в некоторых legacy-системах, сетях управления промышленным оборудованием (ICS/SCADA) или в изолированных сегментах. Именно такие системы сейчас находятся под угрозой.

Системы оценки CVSS 2.0 и CVSS 3.1 единогласно подтверждают высочайшую степень риска. Базовая оценка по CVSS 3.1 составляет 9.8 баллов из 10. Это максимально возможный балл для уязвимостей, не требующих физического доступа к устройству. Вектор атаки оценивается как сетевой (AV:N), для эксплуатации не нужны ни привилегии (PR:N), ни взаимодействие с пользователем (UI:N). Более того, успешная атака приводит к полной компрометации конфиденциальности, целостности и доступности системы (C:H/I:H/A:H).

Особую тревогу вызывает тот факт, что, согласно BDU, эксплойт для этой уязвимости уже существует в открытом доступе. Это означает, что киберпреступники, включая операторов вымогательского программного обеспечения, могут быстро интегрировать его в свои атакующие инструменты. Следовательно, окно для принятия защитных мер стремительно сокращается.

К сожалению, на момент публикации информация о доступном официальном патче от разработчиков Inetutils уточняется. Тем не менее, эксперты по кибербезопасности настоятельно рекомендуют немедленно принять комплекс компенсирующих мер для снижения риска. Прежде всего, следует полностью отказаться от использования протокола Telnet в пользу безопасных альтернатив, таких как SSH. Если же это невозможно по техническим причинам, доступ к telnet-сервису должен быть строго ограничен.

В частности, необходимо заблокировать 23-й порт TCP на межсетевых экранах (firewalls), особенно на границе с интернетом. Доступ к сервису должен быть разрешён только по принципу «белого списка» с определённых доверенных IP-адресов. Кроме того, все сессии и попытки подключений по Telnet должны тщательно мониториться с помощью систем класса SIEM. Это поможет быстро выявить подозрительную активность.

Данная уязвимость, получившая также идентификатор CVE-2026-32746, служит очередным напоминанием об опасности использования устаревших протоколов и программного обеспечения. Системным администраторам и специалистам по информационной безопасности рекомендуется провести инвентаризацию своих сетей на предмет наличия сервисов Telnet. Затем нужно оценить возможность их замены или, как минимум, изоляции в отдельных сегментах сети. Ожидается, что разработчики Inetutils в ближайшее время выпустят патч, устраняющий переполнение буфера в функции "add_slc()". До этого момента единственным надёжным способом защиты является полное отключение уязвимого сервиса.

Детали уязвимости

Ссылки