V systému inicializace finit byla odhalena zranitelnost (CVE-2025-29906), která umožňuje přihlásit se do systému jako jakýkoli uživatel bez ověření hesla. Zneužití této zranitelnosti se provádí manipulací s výzvou k přihlášení a vyžaduje přístup k konzoli. Zranitelnost se projevuje od verze 3.0 (říjen 2017) a byla odstraněna ve verzi finit 4.11. Následně byla vydána verze 4.12, která opravila přetečení bufferu v pluginu urandom, které není označeno jako zranitelnost.
Zranitelnost se týká implementace programu getty, který zobrazuje výzvu k přihlášení v terminálu a spouští proces /bin/login pro ověření uživatele. Zranitelnost je způsobena absencí oddělení argumentů příkazové řádky při spuštění /bin/login, což umožnilo zadat volbu „-f“ v uživatelském jménu, která deaktivuje kontrolu hesla (například lze zadat „-f root“ místo „root“). Problém byl vyřešen přidáním argumentu „—“ před polem pro uživatelské jméno: — execl(_PATH_LOGIN, _PATH_LOGIN, „-p“, name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, „-p“, „—“, name, NULL);
Jako obcházení pro zablokování zranitelnosti se doporučuje používat ve finit externí implementaci procesu getty, například agetty. V distribucích Debian 12, Ubuntu, Parrot, Raspbian a Trisquel zůstávají balíčky s finit zatím bez opravy zranitelnosti.
Systém inicializace Finit (Fast init) se vyvíjí jako jednoduchá alternativa k SysV init a systemd a rozšiřuje se v embedded systémech. Projekt vychází z technologií systému inicializace fastinit, používaného v Linuxovém firmware netbooků EeePC a je chválen pro velmi rychlý proces bootování. Finit podporuje úrovně běhu (runlevel) ve stylu SysV init, automatické restartování služby v případě selhání, provádění jednorázových handlerů, spouštění služeb s ohledem na závislosti a libovolné podmínky, připojování dalších handlerů pro spuštění před nebo po provedení služby, rozšiřování funkčnosti prostřednictvím pluginů, nastavení omezení prostřednictvím Cgroups v2.
Zdroj: opennet.ru
