{"id":121386,"date":"2025-01-17T15:46:06","date_gmt":"2025-01-17T13:46:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena"},"modified":"2025-01-17T15:46:06","modified_gmt":"2025-01-17T13:46:06","slug":"uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena","title":{"rendered":"En s\u00e5rbarhed i pam-u2f, der muligg\u00f8r omg\u00e5else af hardware-tokenbaseret autentifikation.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udviklerne af openSUSE-projektet har identificeret en s\u00e5rbarhed (CVE-2025-23013) i PAM-modulet pam-u2f, der anvendes til autentificering med YubiKey-token, Yubico Security Key, YubiHSM og andre FIDO-enheder, der underst\u00f8tter U2F-protokollen (Universal 2nd Factor). S\u00e5rbarheden g\u00f8r det muligt for en bruger med ikke-privilegeret lokal adgang til systemet under visse konfigurationer af PAM at gennemf\u00f8re autentificering uden at inds\u00e6tte det hardware-token. I praksis tilsluttes pam-u2f-modulet som regel til to-faktor- eller passwordl\u00f8s autentificering ved brug af tokens (f.eks. til bekr\u00e6ftelse af kommandobevillinger via v\u00e6rkt\u00f8jerne su og sudo). <\/p>\n
S\u00e5rbarheden skyldes, at funktionen pam_sm_authenticate() returnerer v\u00e6rdien PAM_IGNORE forkert. Denne v\u00e6rdi returneres, hvis der opst\u00e5r en fejl under udf\u00f8relsen af funktionerne gethostname(), pam_modutil_drop_priv(), pam_modutil_regain_priv() eller resolve_authfile_path(), samt ved problemer med hukommelsestildeling i strdup() eller calloc(). Problemet er, at biblioteket libpam, n\u00e5r det modtager et resultat med koden PAM_IGNORE fra PAM-modulet, vil returnere den endelige kode PAM_SUCCESS, som angiver en succesfuld autentificering, hvis et andet PAM-modul i kontrolk\u00e6den har returneret et succesfuldt autentificeringsresultat. <\/p>\n
Ved brug af pam-u2f-modulet i kombination med pam_unix til to-faktor-autentificering muligg\u00f8r s\u00e5rbarheden, at autentificeringen gennemf\u00f8res succesfuldt, hvis adgangskoden verificeres korrekt, uden bekr\u00e6ftelse af den anden faktor. Ved passwordl\u00f8s autentificering med hardware-token kan pam-u2f anvendes sammen med PAM-modulet pam_faillock, som begr\u00e6nser antallet af autentificeringsfors\u00f8g og returnerer PAM_SUCCESS, hvis gr\u00e6nsen ikke er overskredet. <\/p>\n
Et eksempel p\u00e5 en angrebsmetode er omg\u00e5else af tokenkontrollen, n\u00e5r en lokal bruger udf\u00f8rer privilegerede kommandoer ved at bruge v\u00e6rkt\u00f8jerne sudo og su. Under udf\u00f8relsen af disse kommandoer kan angriberen skabe betingelser for, at pam-u2f-modulet returnerer v\u00e6rdien PAM_IGNORE, f.eks. ved at udmatte den tilg\u00e6ngelige hukommelse. Problemet er blevet rettet i version pam-u2f 1.3.1. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"