Kritische Sicherheitslücke im GNU InetUtils Telnet-Server: Alarmstufe Rot für Betreiber und Nutzer

Eine kritische Sicherheitslücke im Telnet-Server der GNU InetUtils sorgt für Besorgnis. Ein Exploit, der eine umgehende Anmeldung als root ermöglicht, ist öffentlich zugänglich. Es ist wichtig, Fakten zu betrachten und Maßnahmen zu ergreifen, anstatt Panik auszulösen. Die Entwickler haben die Schwachstelle in einer Mailingliste bekanntgegeben und erklärt: Der Telnet-Dienst telnetd überträgt den Wert der Umgebungsvariable USER direkt an das Programm /usr/bin/login. Durch Manipulation dieses Parameters lässt sich eine automatische root-Anmeldung erzwingen. Da GNU InetUtils telnetd keine Filterung vornimmt, ist der Angriff einfach auszuführen (CVE-2026-24061, CVSS 9.8, Risiko: kritisch). Proof-of-Concept-Exploits existieren und ermöglichen Cyberkriminellen die Ausnutzung der Lücke, was bereits aktiv geschieht. Die US-amerikanische Sicherheitsbehörde CISA hat die Schwachstelle in ihrem Katalog aufgenommen. Betroffen sind Versionen von GNU InetUtils vom Mai 2015 bis einschließlich 2.7. Ein Patch ist seit Januar 2026 verfügbar. Telnet sollte durch sichere Alternativen wie SSH ersetzt werden, da es in modernen Netzwerken veraltet ist. Betreiber von telnetd-Servern im Internet sollten besonders vorsichtig sein, da sie möglicherweise grundlegende Sicherheitsdefizite aufweisen. Häufiger finden sich Telnet-Server jedoch in geschlossenen Netzen, insbesondere auf älteren Geräten. Busybox-Versionen auf diesen könnten die Schwachstelle nicht enthalten. Dennoch stellen auch große Geräte wie Cisco-Router ein Risiko dar, wenn Sicherheitsrichtlinien nicht eingehalten werden. Zusammengefasst erfordert die GNU InetUtils-Sicherheitslücke eine ruhige und rationale Reaktion: Die Aktualisierung auf die neueste Version mit Patch sowie der Ersatz von Telnet sind essenziell zur Risikominimierung.

Schlagwörter: GNU InetUtils + USER + CVSS

Wie bewerten Sie den Schreibstil des Artikels?