Turvalisuse haavatavus pam-u2f, mis võimaldab mööda minna riistvara tokenil põhinevast autentimisest

OpenSUSE projekti arendajad tuvastasid haavatavuse (CVE-2025-23013) PAM-modulis pam-u2f, mida kasutatakse autentimiseks YubiKey, Yubico Security Key, YubiHSM ja teiste U2F (Universal 2nd Factor) protokolli toetavate FIDO-seadmete kaudu. Haavatavus võimaldab kasutajal, kellel on piiratud kohalik juurdepääs süsteemile, teatud PAM-konfiguratsioonides autentimist teostada ilma riistvara tokenit sisestamata. Praktikas ühildub modul pam-u2f tavaliselt kahefaktorilise või paroolivaba autentimisega tokenite kasutamisel (näiteks käsuõiguste kinnitamiseks su ja sudo utiliitide kaudu).

Haavatavuse põhjuseks on PAM funktsiooni pam_sm_authenticate() vale väärtuse PAM_IGNORE tagastamine. Seda väärtust tagastatakse juhul, kui esineb viga gethostname(), pam_modutil_drop_priv(), pam_modutil_regain_priv() või resolve_authfile_path() kutsungite teostamisel, samuti mäluhalduse probleemide tõttu strdup() või calloc(). Probleem on selles, et teegid libpam, saades PAM-modulilt tulemuse koodiga PAM_IGNORE, tagastavad lõppkoodi PAM_SUCCESS, mis tähistab eduka autentimise lõpetamist, kui kontrollide ahelas mõni teine PAM-modul tagastas eduka autentimise tulemuse.

PAM-moduli pam-u2f kasutamine koos pam_unixiga kahefaktorilise autentimise korral võimaldab haavatavuse tõttu autentimist ilma teise fakti kinnitamiseta, kui parooli kontrollimine on õnnestunud. Juhul kui teostatakse paroolivaba autentimist riistvara tokeni kaudu, võib pam-u2f töötada koos PAM-moduliga pam_faillock, mis piirab autentimiskatsete arvu ja tagastab PAM_SUCCESS, kui piirmäär on veel täitmata.

Rünnaku näitena tuuakse esile tokeni kontrollimise ümbersõit kohalikult kasutajalt privileege omavate käskude täitmisel, kasutades utiliite sudo ja su. Nende käskude käivitamise ajal võib ründaja luua tingimused pam-u2f mooduli PAM_IGNORE väärtuse tagastamiseks, näiteks vabastades olemasolevat mälu. Probleem on lahendatud versioonis pam-u2f 1.3.1.

Allikas: opennet.ru