GNU · InetUtils
CVE-2026-24061
GNU InetUtils Argument Injection Vulnerability
O que é
telnetd in GNU Inetutils through 2.7 allows remote authentication bypass via a "-f root" value for the USER environment variable.
CISA: GNU InetUtils contains an argument injection vulnerability in telnetd that could allow for remote authentication bypass via a "-f root" value for the USER environment variable.
O que fazer
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Prazo para as agências federais dos EUA: 16 de fevereiro de 2026
- Adicionada à lista da CISA
- 26 de janeiro de 2026
- Publicada
- 21 de janeiro de 2026
- Gravidade
- Crítica 9,8 CVSS 3.1
- Chance de ataques nos próximos 30 dias (EPSS)
- 99% entre os 0,1% mais altos de todas as vulnerabilidades conhecidas
- Fraqueza
- CWE-88
- Mais detalhes
- NVD · CVE.org · CISA
Todas as referências (9)
- https://www.openwall.com/lists/oss-security/2026/01/20/2
- https://www.openwall.com/lists/oss-security/2026/01/20/8
- https://www.gnu.org/software/inetutils/
- https://lists.gnu.org/archive/html/bug-inetutils/2026-01/msg00004.html
- https://codeberg.org/inetutils/inetutils/commit/fd702c02497b2f398e739e3119bed0b23dd7aa7b
- https://codeberg.org/inetutils/inetutils/commit/ccba9f748aa8d50a38d7748e2e60362edd6a32cc
- https://www.vicarius.io/vsociety/posts/cve-2026-24061-detection-script-remote-authentication-bypass-in-gnu-in…
- https://www.vicarius.io/vsociety/posts/cve-2026-24061-mitigation-script-remote-authentication-bypass-in-gnu-i…
- https://redteam.ae/blog/cve-2026-24061-inetutils-telnetd-root-bypass
Mais falhas exploradas de GNU
| Adicionado | Vulnerabilidade | Produto | Gravidade | Chance de ataque |
|---|---|---|---|---|
| 2 de out. de 2025 | Bash OS Command Injection | GNU Bash | Alto 8,8 | 99,7% |
| 21 de nov. de 2023 | C Library Buffer Overflow | GNU C Library | Alto 7,8 | 64% |
| 28 de jan. de 2022 | Arbitrary Code Execution | Bourne-Again Shell (Bash) | Crítica 9,8 | >99,9% |
| 28 de jan. de 2022 | Arbitrary Code Execution | Bourne-Again Shell (Bash) | Crítica 9,8 | 99,9% |
Fontes: Known Exploited Vulnerabilities (CISA, domínio público), CVE records (cve.org) e EPSS (FIRST). A chance de ataque é a estimativa EPSS de que alguém tente explorar a falha nos próximos 30 dias.