JVNDB-2026-001978

Debian等の複数ベンダの製品における引数の挿入または変更に関する脆弱性

GNU Inetutils 2.7までのtelnetdには、USER環境変数に「-f root」という値を設定することでリモート認証を回避できる脆弱性が存在します。

Debian

• Debian GNU/Linux 11.0

GNU Project

• inetutils 1.9.3 から 2.7

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Debian

• Debian Mailing Lists : [SECURITY] [DLA 4453-1] inetutils security update

GreyNoise

• GreyNoise Labs : -f Around and Find Out: 18 Hours of Unsolicited Telnet Houseguests  GreyNoise Labs

Openwall

• Openwall mailing list archives : oss-security - GNU InetUtils Security Advisory: remote authentication by-pass in telnetd (2#:~:text=root@...a%3A~%20USER=')

1. 引数の挿入または変更(CWE-88) [その他]

1. CVE-2026-24061

1. National Vulnerability Database (NVD) : CVE-2026-24061
2. CISA Known Exploited Vulnerabilities Catalog : CVE-2026-24061
3. 関連文書 : oss-security - GNU InetUtils Security Advisory: remote authentication by-pass in telnetd (https://www.openwall.com/lists/oss-security/2026/01/20/2)
4. 関連文書 : oss-security - Re: GNU InetUtils Security Advisory: remote authentication by-pass in telnetd (https://www.openwall.com/lists/oss-security/2026/01/20/8)
5. 関連文書 : oss-security - Re: GNU InetUtils Security Advisory: remote authentication by-pass in telnetd (http://www.openwall.com/lists/oss-security/2026/01/22/1)
6. 関連文書 : Inetutils - Network utilities - GNU Project - Free Software Foundation

• [2026年01月28日]
    掲載