Una vulnerabilidad crítica en GNU Inetutilstelnetdpuede permitir que un atacante remoto no autenticado provoque daños en la memoria durante el protocolo de enlace Telnet y potencialmente ejecute código como root.La falla se rastrea como CVE-2026-32746, afecta a GNU Inetutilstelnetdhasta la versión 2.7 y tiene una puntuación CVSS 3.1 de 9,8 de MITRE.
El error se encuentra en el controlador de subopción LINEMODE Establecer caracteres locales, o SLC.NVD dice add_slcno comprueba si el búfer está lleno, lo que provoca una escritura fuera de límites. Dream Security dice que se puede acceder a la ruta del código vulnerable durante el protocolo de enlace de conexión inicial, antes de que aparezca cualquier mensaje de inicio de sesión.
Eso hace que esto sea un problema grave para cualquier entorno que todavía exponga Telnet en el puerto TCP 23. Dream Security dice que no se requiere autenticación ni interacción del usuario, y señala que una explotación exitosa puede resultar en la ejecución remota de código como root porquetelnetdcomúnmente se ejecuta con privilegios elevados bajoinetdoxinetd.
Qué afecta CVE-2026-32746
La vulnerabilidad afecta a GNU Inetutilstelnetdhasta la versión 2.7.Seguridad de los sueños diceLos sistemas expuestos pueden incluir distribuciones de Linux que incluyen Inetutils, dispositivos integrados, dispositivos de red más antiguos e implementaciones de tecnología operativa que aún dependen de Telnet para el acceso remoto o la administración de la consola.
Esto es más importante en entornos heredados.Dream Security apunta específicamente aICS, OT y algunas redes gubernamentales donde los antiguos PLC, sistemas SCADA y otros equipos de campo todavía dependen de Telnet porque reemplazarlos o modernizarlos es costoso o disruptivo. Ese contexto no cambia el error en sí, pero sí aumenta el riesgo en el mundo real para los operadores que todavía tienen Telnet expuesto.
Por qué este error de telnetd es peligroso
El ataque ocurre antes de la autenticación. Dream Security dice que un mensaje LINEMODE SLC especialmente diseñado enviado durante la negociación de opciones puede desencadenar el desbordamiento sin credenciales válidas. El vector CVSS de NVD también refleja ese perfil con capacidad de ataque a la red, baja complejidad de ataque, sin necesidad de privilegios y sin interacción del usuario.
Si se explota con éxito, el impacto puede ser grave.Dream Security dice atacantespuede obtener la ejecución remota de código arbitrario como root, instalar puertas traseras persistentes, robar datos o utilizar el sistema como punto de pivote para una mayor intrusión. Debido a que Telnet a menudo se encuentra en sistemas más antiguos o más difíciles de reemplazar, la carga de recuperación puede ser alta incluso cuando la cantidad de hosts expuestos es limitada.
Detalles clave de un vistazo
| Artículo | Detalles |
|---|---|
| CVE | CVE-2026-32746 |
| Producto | GNU Inetutilstelnetd |
| Versiones afectadas | Hasta 2.7 |
| Tipo de vulnerabilidad | Escritura fuera de límites/desbordamiento de búfer clásico |
| Punto de ataque | Controlador de subopciones LINEMODE SLC |
| Se requiere autenticación | No |
| Interacción del usuario | No |
| Exposición de la red | Puerto TCP 23 |
| Gravedad | Crítico, CVSS 9.8 |
Fuente: NVD y Dream Security.
Estado del parche y cronograma
Dream Security dice que informó el problema al equipo de GNU Inetutils el 11 de marzo de 2026. Según su cronograma de divulgación, el mantenedor Collin Funk confirmó el problema y presentó una solución el 12 de marzo, y el propietario del proyecto Simon Josefsson lo aprobó con un lanzamiento previsto a más tardar el 1 de abril de 2026. El CVE se publicó el 13 de marzo de 2026.
En el momento de la publicación, Dream Security dijo que no tenía pruebas confirmadas de explotación activa en la naturaleza. Dicho esto, la combinación de accesibilidad de red no autenticada y exposición trivial en el puerto 23 hace que este sea un problema de parcheo o desactivación para cualquier sistema que aún ejecute el demonio vulnerable.
¿Qué deberían hacer los defensores ahora?
La mejor opción es desactivartelnetdsi el servicio ya no es necesario. Dream Security recomienda explícitamente la desactivación del servicio hasta que se publique una solución.
Si Telnet debe permanecer en línea por razones operativas, restrinja el puerto 23 a una red de administración estrictamente controlada o a hosts confiables específicos. Esta mitigación se deriva directamente de la ruta de ataque de red documentada y de la recomendación de Dream Security de limitar la exposición mientras se espera una versión reparada.
Los equipos de seguridad también deben registrar y monitorear nuevas conexiones al puerto 23 e inspeccionar el tráfico de negociación LINEMODE inusual cuando sea posible. Dream Security señala que los registros de autenticación estándar pueden pasar por alto este ataque porque la entrada maliciosa llega antes de iniciar sesión, por lo que la visibilidad de la capa de red se vuelve más importante.
- Deshabilitar GNU Inetutils
telnetdsiempre que sea posible. - Bloquee o limite estrictamente el acceso entrante al puerto TCP 23.
- Priorice los sistemas OT, ICS y similares a dispositivos heredados que todavía usan Telnet.
- Esté atento al tráfico inesperado de negociación Telnet previa a la autenticación en lugar de depender únicamente de los registros de inicio de sesión.
- Aplique la versión corregida oficial tan pronto como la envíe GNU Inetutils.
Preguntas frecuentes
¿Qué es CVE-2026-32746?
CVE-2026-32746 es una vulnerabilidad crítica de escritura fuera de límites en GNU Inetutilstelnetd. NVD dice que la falla existe en el controlador LINEMODE SLC porqueadd_slcno verifica el espacio disponible en el buffer.
¿Esto requiere un nombre de usuario o contraseña?
No. Dream Security dice que se puede solucionar la falla durante el protocolo de enlace Telnet inicial antes de que aparezca cualquier mensaje de autenticación.
¿Qué versiones se ven afectadas?
NVD y Dream Security dicen GNU Inetutilstelnetdhasta la versión 2.7 se ve afectado.
¿Hay evidencia de explotación activa?
Dream Security dijo que no había ninguna explotación confirmada en el medio natural en el momento en que publicó su aviso.
¿Qué deberían hacer los administradores primero?
Desactivartelnetdsi es posible. Si eso no es posible, restrinja el acceso al puerto 23 y planee aplicar la solución del proveedor tan pronto como la versión actualizada esté disponible.