{"id":123909,"date":"2025-05-01T15:05:06","date_gmt":"2025-05-01T13:05:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya"},"modified":"2025-05-01T15:05:06","modified_gmt":"2025-05-01T13:05:06","slug":"uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya","title":{"rendered":"S\u00e5rbarhed i init-systemet finit, der tillader adgang til systemet uden kodeord","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Der er opdaget en s\u00e5rbarhed i init-systemet finit (CVE-2025-29906), som g\u00f8r det muligt at logge ind p\u00e5 systemet som enhver bruger uden kodeordsverifikation. Uds\u00e6ttelse af s\u00e5rbarheden sker gennem manipulation med loginprompten og kr\u00e6ver adgang til konsollen. S\u00e5rbarheden optr\u00e6der fra version 3.0 (oktober 2017) og er blevet rettet i udgivelsen finit 4.11. F\u00f8lgende er udgivet version 4.12, hvor buffer overflow i urandom-plugin'et er blevet rettet, hvilket ikke er indtastet som en s\u00e5rbarhed. <\/p>\n
S\u00e5rbarheden p\u00e5virker implementeringen af programmet getty, som viser en login-prompt i terminalen og starter processen \/bin\/login for brugerautentificering. S\u00e5rbarheden skyldes manglende adskillelse af kommandoobjekter ved opstart af \/bin\/login, hvilket tillod at angive indstillingen '\u2013f' i brugernavnet, der deaktiverer adgangskodekontrollen (for eksempel kan man indtaste '-f root' i stedet for 'root'). Problemet er l\u00f8st ved at tilf\u00f8je argumentet '\u2014' f\u00f8r brugernavnsfeltet: \u2014 execl(_PATH_LOGIN, _PATH_LOGIN, '\u2013p', name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, '\u2013p', '\u2014', name, NULL); <\/p>\n
Som en l\u00f8sning p\u00e5 at blokere s\u00e5rbarheden anbefales det at bruge en ekstern implementering af getty i finit, f.eks. agetty. I Debian 12, Ubuntu, Parrot, Raspbian og Trisquel distributioner forbliver pakkerne med finit stadig uden rettelse af s\u00e5rbarheden. <\/p>\n
Init-systemet Finit (Fast init) udvikler sig som et simpelt alternativ til SysV init og systemd, og det har f\u00e5et popularitet i indlejrede systemer. Projektet er baseret p\u00e5 teknologierne fra fastinit-systemet, der anvendes i Linux-firmware til EeePC netbooks, og er bem\u00e6rkelsesv\u00e6rdigt for sin meget hurtige opstart. Finit underst\u00f8tter k\u00f8releveler i stil med SysV init, automatisk genstart af tjenester ved fejl, udf\u00f8rsel af engangsh\u00e5ndterere, start af tjenester under hensyntagen til afh\u00e6ngigheder og arbitr\u00e6re betingelser, tilknytning af ekstra h\u00e5ndterere til at k\u00f8re f\u00f8r eller efter udf\u00f8relsen af services, udvidelse af funktionaliteten gennem plugins og indstillingsbegr\u00e6nsninger gennem Cgroups v2. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"