Der er opdaget en sårbarhed i init-systemet finit (CVE-2025-29906), som gør det muligt at logge ind på systemet som enhver bruger uden kodeordsverifikation. Udsættelse af sårbarheden sker gennem manipulation med loginprompten og kræver adgang til konsollen. Sårbarheden optræder fra version 3.0 (oktober 2017) og er blevet rettet i udgivelsen finit 4.11. Følgende er udgivet version 4.12, hvor buffer overflow i urandom-plugin'et er blevet rettet, hvilket ikke er indtastet som en sårbarhed.
Sårbarheden vedrører implementeringen af programmet getty, som viser loginprompten i terminalen og starter processen /bin/login til brugergodkendelse. Sårbarheden er forårsaget af manglende opdeling af argumenterne i kommandolinjen ved opstart af /bin/login, hvilket tillod at angive optionen "-f" i brugernavnet, som slår kodeordet fra (f.eks. kan man indtaste "-f root" i stedet for "root"). Problemet er løst ved at tilføje argumentet "—" foran brugernavnsfeltet: — execl(_PATH_LOGIN, _PATH_LOGIN, "-p", name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, "-p", "—", name, NULL);
Som en løsning på at blokere sårbarheden anbefales det at bruge en ekstern implementering af getty i finit, f.eks. agetty. I Debian 12, Ubuntu, Parrot, Raspbian og Trisquel distributioner forbliver pakkerne med finit stadig uden rettelse af sårbarheden.
Init-systemet Finit (Fast init) udvikler sig som et simpelt alternativ til SysV init og systemd, og det har fået popularitet i indlejrede systemer. Projektet er baseret på teknologierne fra fastinit-systemet, der anvendes i Linux-firmware til EeePC netbooks, og er bemærkelsesværdigt for sin meget hurtige opstart. Finit understøtter køreleveler i stil med SysV init, automatisk genstart af tjenester ved fejl, udførsel af engangshåndterere, start af tjenester under hensyntagen til afhængigheder og arbitrære betingelser, tilknytning af ekstra håndterere til at køre før eller efter udførelsen af services, udvidelse af funktionaliteten gennem plugins og indstillingsbegrænsninger gennem Cgroups v2.
Kilde: opennet.ru
