-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheid verholpen in GNU Inetutils telnetd
Advisory ID     : NCSC-2026-0033
Versie          : 1.00
Kans            : high
CVE ID          : CVE-2026-24061
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Argument Delimiters in a
                  Command ('Argument Injection')
Uitgiftedatum   : 20260121
Toepassing      : GNU InetUtils
Versie(s)       :
Platform(s)     :

Beschrijving
   Beveiligingsonderzoekers hebben een een kwetsbaarheid aangetroffen in
   Inetutils telnetd (versie 2.7). Deze kwetsbaarheid is volgens de
   onderzoekers al aanwezig sinds versie 1.9.3 die uit is gekomen in
   2015.

   De kwetsbaarheid bevindt zich in de manier waarop de telnetd-service
   omgaat met de USER-omgeving variabele. Door deze variabele in te
   stellen op '-f root', kunnen kwaadwillenden authenticatie omzeilen en
   rootrechten bemachtigen. Dit is een ernstig risico voor de
   systeemintegriteit.
   Deze kwetsbaarheid is zeer eenvoudig uit te buiten en exploitcode
   hiervoor is publiek beschikbaar. Het NCSC verwacht dan ook dat er bij
   publiek toegankelijke telnet servers op korte termijn misbruik van
   deze kwetsbaarheid plaats zal vinden.

Mogelijke oplossingen
   Het NCSC adviseert om managementinterfaces zoals Telnet niet aan het
   internet te koppelen, maar enkel op aparte managementnetwerken
   beschikbaar te stellen. Dit beperkt het aanvalsoppervlak aanzienlijk.
   Daarnaast adviseert het NCSC om IP-allowlisting toe te passen en de
   Telnet-interface enkel voor vertrouwde clients beschikbaar te
   stellen.
   Er zijn patches beschikbaar om de kwetsbaarheid te verhelpen. Deze
   moeten echter in de packages van de diverse distributies verwerkt
   worden voordat ze door te voeren zijn. Tot die tijd zijn de patches
   slechts door te voeren door deze handigmatig in de code (in
   telnetd/utility.c) aan te passen en vervolgens zelfstandig te
   compileren.
   Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://codeberg.org/inetutils/inetutils/commit/ccba9f748aa8d50a38
      d7748e2e60362edd6a32cc

      Reference
      https://codeberg.org/inetutils/inetutils/commit/fd702c02497b2f398e
      739e3119bed0b23dd7aa7b

      Reference
      https://seclists.org/oss-sec/2026/q1/89

      Reference
      https://www.gnu.org/software/inetutils/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=GmKw
-----END PGP SIGNATURE-----