{"id":121386,"date":"2025-01-17T15:46:06","date_gmt":"2025-01-17T13:46:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena"},"modified":"2025-01-17T15:46:06","modified_gmt":"2025-01-17T13:46:06","slug":"uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in pam-u2f, die eine Umgehung der Authentifizierung auf Basis eines Hardware-Tokens erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Entwickler des Projekts openSUSE haben eine Sicherheitsschwachstelle (CVE-2025-23013) im PAM-Modul pam-u2f entdeckt, das bei der Authentifizierung mit YubiKey-Tokens, Yubico Security Key, YubiHSM und anderen FIDO-Ger\u00e4ten, die das U2F-Protokoll (Universal 2nd Factor) unterst\u00fctzen, verwendet wird. Diese Schwachstelle erm\u00f6glicht es einem Benutzer mit nicht privilegierten lokalen Zugriffsrechten auf das System, in bestimmten PAM-Konfigurationen die Authentifizierung ohne Eingabe des Hardware-Tokens durchzuf\u00fchren. In der Praxis wird das Modul pam-u2f normalerweise f\u00fcr die Zwei-Faktor- oder passwortlose Authentifizierung mit Tokens verwendet (zum Beispiel zur Best\u00e4tigung von Berechtigungen f\u00fcr die Ausf\u00fchrung von Befehlen \u00fcber die Tools su und sudo). <\/p>\n
Die Sicherheitsanf\u00e4lligkeit entsteht durch die fehlerhafte R\u00fcckgabe des Wertes PAM_IGNORE durch die Funktion pam_sm_authenticate(). Dieser Wert wird im Fall eines Fehlers bei den Aufrufen von gethostname(), pam_modutil_drop_priv(), pam_modutil_regain_priv() oder resolve_authfile_path() zur\u00fcckgegeben, sowie bei Problemen mit der Speicherzuteilung in strdup() oder calloc(). Das Problem liegt darin, dass die Bibliothek libpam, nachdem sie von einem PAM-Modul das Ergebnis mit dem Code PAM_IGNORE erhalten hat, den endg\u00fcltigen Code PAM_SUCCESS zur\u00fcckgibt, der eine erfolgreiche Authentifizierung anzeigt, sofern ein anderes PAM-Modul in der Pr\u00fcfkette ein erfolgreiches Authentifizierungsergebnis zur\u00fcckgegeben hat. <\/p>\n
Bei der Nutzung des Moduls pam-u2f zusammen mit pam_unix f\u00fcr die Zwei-Faktor-Authentifizierung erm\u00f6glicht die Sicherheitsanf\u00e4lligkeit eine erfolgreiche Authentifizierung bei erfolgreicher Passwortpr\u00fcfung, ohne dass der zweite Faktor best\u00e4tigt wird. Bei der passwortlosen Authentifizierung \u00fcber ein Hardware-Token kann pam-u2f zusammen mit dem PAM-Modul pam_faillock verwendet werden, welches die Anzahl der Authentifizierungsversuche beschr\u00e4nkt und PAM_SUCCESS zur\u00fcckgibt, solange das Limit nicht erreicht ist. <\/p>\n
Ein Beispiel f\u00fcr einen Angriff ist das Umgehen der Token-\u00dcberpr\u00fcfung bei der Ausf\u00fchrung privilegierter Befehle durch einen lokalen Benutzer unter Verwendung der Tools sudo und su. W\u00e4hrend der Ausf\u00fchrung dieser Befehle kann der Angreifer Bedingungen schaffen, die dem Modul pam-u2f den Wert PAM_IGNORE zur\u00fcckgeben, zum Beispiel durch einen Speicher\u00fcberlauf. Das Problem wurde in Version pam-u2f 1.3.1 behoben. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"