{"id":121386,"date":"2025-01-17T15:46:06","date_gmt":"2025-01-17T13:46:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena"},"modified":"2025-01-17T15:46:06","modified_gmt":"2025-01-17T13:46:06","slug":"uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-pam-u2f-pozvolyayushhaya-obojti-autentifikacziyu-na-baze-apparatnogo-tokena","title":{"rendered":"Eine Sicherheitsanf\u00e4lligkeit in pam-u2f, die eine Umgehung der Hardware-Token-Authentifizierung erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Entwickler des openSUSE-Projekts haben eine Sicherheitsanf\u00e4lligkeit (CVE-2025-23013) im PAM-Modul pam-u2f entdeckt, das bei der Authentifizierung \u00fcber YubiKey-Tokens, Yubico Security Key, YubiHSM und andere FIDO-Ger\u00e4te, die das U2F-Protokoll (Universal 2nd Factor) unterst\u00fctzen, verwendet wird. Die Sicherheitsanf\u00e4lligkeit erm\u00f6glicht es einem Benutzer mit nicht privilegiertem lokalem Zugriff auf das System, in bestimmten PAM-Konfigurationen die Authentifizierung ohne Einstecken des Hardware-Tokens durchzuf\u00fchren. In der Praxis wird das Modul pam-u2f in der Regel f\u00fcr die Zwei-Faktor- oder passwortlose Authentifizierung mit Tokens verwendet (zum Beispiel zur Best\u00e4tigung der Berechtigung zur Ausf\u00fchrung von Befehlen \u00fcber die Hilfsprogramme su und sudo). <\/p>\n
Die Sicherheitsanf\u00e4lligkeit wird durch die fehlerhafte R\u00fcckgabe des Wertes PAM_IGNORE durch die Funktion pam_sm_authenticate() verursacht. Dieser Wert wird im Fehlerfall bei den Aufrufen von gethostname(), pam_modutil_drop_priv(), pam_modutil_regain_priv() oder resolve_authfile_path() zur\u00fcckgegeben, sowie bei Problemen mit der Speicherallokation in strdup() oder calloc(). Das Problem besteht darin, dass die Bibliothek libpam, wenn sie von dem PAM-Modul ein Ergebnis mit dem Code PAM_IGNORE erh\u00e4lt, den endg\u00fcltigen Code PAM_SUCCESS zur\u00fcckgibt, der eine erfolgreiche Authentifizierung signalisiert, wenn in der \u00dcberpr\u00fcfungskette ein anderes PAM-Modul ein erfolgreiches Authentifizierungsergebnis zur\u00fcckgegeben hat. <\/p>\n
Bei der Verwendung des pam-u2f-Moduls in Verbindung mit pam_unix f\u00fcr die Zwei-Faktor-Authentifizierung erm\u00f6glicht die Sicherheitsanf\u00e4lligkeit eine erfolgreiche Authentifizierung im Falle einer erfolgreichen Passwort\u00fcberpr\u00fcfung, ohne die Best\u00e4tigung des zweiten Faktors. Bei der Durchf\u00fchrung der passwortlosen Authentifizierung \u00fcber das Hardware-Token kann pam-u2f zusammen mit dem PAM-Modul pam_faillock verwendet werden, das die Anzahl der Authentifizierungsversuche einschr\u00e4nkt und PAM_SUCCESS zur\u00fcckgibt, wenn das Limit nicht \u00fcberschritten wurde. <\/p>\n
Ein Beispiel f\u00fcr einen Angriff ist das Umgehen der Token\u00fcberpr\u00fcfung bei der Ausf\u00fchrung privilegierter Befehle durch einen lokalen Benutzer unter Verwendung der Hilfsprogramme sudo und su. W\u00e4hrend der Ausf\u00fchrung dieser Befehle kann der Angreifer Bedingungen schaffen, die dazu f\u00fchren, dass das Modul pam-u2f den Wert PAM_IGNORE zur\u00fcckgibt, beispielsweise durch das Aussch\u00f6pfen des verf\u00fcgbaren Speichers. Das Problem wurde in der Version pam-u2f 1.3.1 behoben. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"