Vývojáři projektu openSUSE odhalili zranitelnost (CVE-2025-23013) v PAM modulu pam-u2f, který se používá při autentizaci prostřednictvím tokenů YubiKey, Yubico Security Key, YubiHSM a dalších FIDO zařízení podporujících protokol U2F (Universal 2nd Factor). Tato zranitelnost umožňuje uživateli s neprivilegovaným místním přístupem k systému, v určitých konfiguracích PAM, projít autentizací bez vložení hardwarového tokenu. V praxi je modul pam-u2f obvykle připojen pro dvojfaktorovou nebo bezheslovou autentizaci s použitím tokenů (například pro potvrzení oprávnění k provádění příkazů prostřednictvím utilit su a sudo).
Zranitelnost je způsobena nesprávným vracením hodnoty PAM_IGNORE funkcí pam_sm_authenticate(). Tato hodnota je vracena v případě chyby při provádění volání gethostname(), pam_modutil_drop_priv(), pam_modutil_regain_priv() nebo resolve_authfile_path(), stejně jako při problémech s alokací paměti ve funkcích strdup() nebo calloc(). Problém spočívá v tom, že knihovna libpam, když od PAM modulu obdrží výsledek s kódem PAM_IGNORE, vrátí konečný kód PAM_SUCCESS, což označuje úspěšné dokončení autentizace, pokud v řetězci kontrol nějaký jiný PAM modul vrátil úspěšný výsledek autentizace.
Při použití modulu pam-u2f ve spojení s pam_unix pro dvojfaktorovou autentizaci zranitelnost umožňuje úspěšné projití autentizací v případě úspěšného ověření hesla, bez potvrzení druhého faktoru. Při provádění bezheslové autentizace pomocí hardwarového tokenu může být pam-u2f použit v kombinaci s PAM modulem pam_faillock, který omezuje počet pokusů o autentizaci a vrací PAM_SUCCESS, pokud limit nebyl vyčerpán.
Jako příklad útoku se uvádí obcházení kontroly tokenu při provádění privilegovaných příkazů místním uživatelem, pomocí utilit sudo a su. Během spuštění těchto příkazů může útočník vytvořit podmínky pro vrácení hodnoty PAM_IGNORE modulem pam-u2f, například prostřednictvím vyčerpání dostupné paměti. Problém byl odstraněn ve verzi pam-u2f 1.3.1.
Zdroj: opennet.ru
