GNU InetUtils の脆弱性（CVE-2026-24061）

何が起きた

GNU InetUtils に含まれる telnetd（telnet という遠隔ログインの仕組みのサーバー）に、ログインの確認を飛ばされてしまう弱点が見つかりました。接続してきた側が USER という環境変数に「-f root」という値を入れると、それがログイン処理にそのまま渡され、パスワードなしで root（最も強い管理者）としてログインできてしまいます。攻撃者はネットワーク経由で、ログインの権限も利用者の操作もなしに悪用できるとされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

GNU InetUtils の telnetd を動かしているサーバーや機器の管理者が対象です。メーカーの勧告では、影響を受けるのは 1.9.3 から 2.7 までのバージョンとされています。telnetd を動かしていなければ、この弱点の影響は受けません。

何をすればいい

メーカーの勧告は、そもそも telnetd サーバーを動かさないこと、telnet のポートへの接続を信頼できる相手だけに制限すること、修正のパッチを当てるかパッチを取り込んだ新しいリリースに更新することをすすめています。すぐに更新できない場合の回避策として、telnetd を止めるか、「-f」の指定を受け付けない独自の login の仕組みを使う方法が示されています。あわせて公式の案内を確認してください。

やることチェックリスト

• 不要な telnetd サーバーを停止する
• telnet のポートへの接続を信頼できる相手に制限する
• 修正のパッチか取り込み済みの新しい版に更新する

用語メモ

telnetd

telnet という古い遠隔ログインの仕組みで、接続を受け付ける側のサーバープログラムです。通信が暗号化されないため、今は使わないことが多い仕組みです。

環境変数

プログラムに渡される設定の値のことです。名前と値の組で、動き方を変えるのに使われます。

root

Linux などで、すべての操作ができる最も強い管理者のアカウントです。