Finit'i initsialiseerimissüsteemis avastati haavatavus (CVE-2025-29906), mis võimaldab sisse logida igasuguse kasutajana ilma parooli kontrollimata. Haavatavuse ekspluateerimine toimub sisselogimisnupu (login) manipuleerimise kaudu ja nõuab juurdepääsu konsoolile. Haavatavus ilmnes alates versioonist 3.0 (oktoober 2017) ja on kõrvaldatud versioonis finit 4.11. Juba on välja töötatud versioon 4.12, milles on lahendatud pufferi ületäitumine urandom-plugin'is, mis pole klassifitseeritud haavatavuseks.
Haavatavus mõjutab programmi getty teostust, mis kuvab sisselogimisnupu terminalis ja käivitab protsessi /bin/login kasutaja autentimiseks. Haavatavus on põhjustatud argumentide puudumise tõttu käsurealt algatamisel /bin/login, mis võimaldas määrata valik «-f» kasutajanime, mis keelab parooli kontrollimise (nt saab sisestada «-f root» asemel «root»). Probleem on lahendatud, lisades argumendi «—» kasutajanime väljakule: — execl(_PATH_LOGIN, _PATH_LOGIN, «-p», name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, «-p», «—«, name, NULL);
Käitumisviisina haavatavuse blokeerimiseks soovitatakse finit'is kasutada välist getty teostust, näiteks agetty. Debian 12, Ubuntu, Parrot, Raspbian ja Trisquel'i distributsioonides on paketid finitiga endiselt parandamata haavatavuse osas.
Finit (Fast init) initsialiseerimissüsteem areneb kui lihtne alternatiiv SysV init'ile ja systemd-le ning on levinud sisseehitatud süsteemides. Projekt põhineb fastinit initsialiseerimissüsteemi tehnoloogiatel, mida kasutatakse Linuxi firmware'is netbook'ide EeePC ja mis on tuntud oma väga kiire bootimisprotsessi poolest. Finit toetab SysV init'i stiilis käitamisaste (runlevel), teenuse automaatset taaskäivitamist tõrke korral, ühekordsete töötlejate käitamise, teenuste käivitamist sõltuvuste ja erinevate tingimuste arvestamisega, täiendavate töötlejate lisamist enne või pärast teenuse käivitamist, funktsionaalsuse laiendamist pluginate abil, piirangute seadmist Cgroups v2 kaudu.
Allikas: opennet.ru
