telnetって名前を-f rootにしたら入れたんですね…
hackernewsを読んでたネットワーク初学者です。
Telnetは危ないからssh使うんですよーと聞いてたんですが、2026年もまだまだしっかり危ないんですね
If the client supply [sic] a carefully crafted USER environment value being the string "-f root", and passes the telnet(1) -a or --login parameter to send this USER environment to the server, the client will be automatically logged in as root bypassing normal authentication processes.
Telnetの受付で名前を書くじゃないですか。
ここで名前を-f rootにしたら
「おっ、rootさんだ、なになに強制ログインオプション…失礼しました！ なんでもやってください！」
ってことになっちゃうという。
名前で「好きにさせて」って書いて「どうぞ！」って言うようなものですよね。
やっぱりTelnetって憎めないやつですよね。
「あいつ、名前に好きにさせろって書いたら通るよ」っていう報告が2015年にすでにあったらしいんですよ。
Josefsson also noted that the vulnerability was introduced as part of a source code commit made on March 19, 2015, which eventually made it to version 1.9.3 release on May 12, 2015. Security researcher Kyu Neushwaistein (aka Carlos Cortes Alvarez) has been credited with discovering and reporting the flaw on January 19, 2026.
それが11年も寝かされてたという。
「Telnetだし、まあいいか」ってことなんですかね。
やっぱり憎めないですね、今後も使っていこうと思います。
という初学者なりに調べた結果なんですけど、こういうことだよ、とか教えていただけるとありがたしです
Discussion