{"id":123909,"date":"2025-05-01T15:05:06","date_gmt":"2025-05-01T13:05:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya"},"modified":"2025-05-01T15:05:06","modified_gmt":"2025-05-01T13:05:06","slug":"uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya","title":{"rendered":"S\u00fcsteemi initsialiseerimise finit haavatavus, mis v\u00f5imaldab siseneda ilma paroolita","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Finit-rahamoodis on tuvastatud haavatavus (CVE-2025-29906), mis v\u00f5imaldab siseneda s\u00fcsteemi mis tahes kasutajana ilma parooli kontrollimata. Haavatavuse \u00e4rakasutamine toimub sisselogimism\u00e4rguande manipuleerimise kaudu ja n\u00f5uab juurdep\u00e4\u00e4su konsoolile. Haavatavus avaldub alates versioonist 3.0 (oktoober 2017) ja on k\u00f5rvaldatud versioonis finit 4.11. Seej\u00e4rel on vabastatud versioon 4.12, milles on k\u00f5rvaldatud urandom-pluginis toimunud puhver\u00fcletus, mida ei ole t\u00e4histatud kui haavatavust. <\/p>\n
Haavatavus puudutab programmi getty rakendust, mis v\u00e4ljastab sisselogimisn\u00e4idiku terminalis ja k\u00e4ivitab protsessi \/bin\/login kasutaja autentimiseks. Haavatavus tuleneb puuduvast argumentide eristamisest k\u00e4skude real \/bin\/login k\u00e4ivitamisel, v\u00f5imaldades kasutajanime jaoks m\u00e4\u00e4rata valiku «-f», mis keelab parooli kontrollimise (n\u00e4iteks v\u00f5ib sisestada «-f root» asemel «root»). Probleem lahendati lisades argumendi «—» enne kasutajanime v\u00e4lja: — execl(_PATH_LOGIN, _PATH_LOGIN, «-p», name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, «-p», «—«, name, NULL); <\/p>\n
Vulnerabiilsuse v\u00e4ltimiseks soovitatakse kasutada finit'i v\u00e4list rakendust getty jaoks, n\u00e4iteks agetty. Debian 12, Ubuntu, Parrot, Raspbian ja Trisquel distributsioonides on finit'i pakettide haavatavused endiselt parandamata. <\/p>\n
Finit (Fast init) k\u00e4ivitus s\u00fcsteem areneb lihtsa alternatiivina SysV init'ile ja systemd'le ning on levinud sisseehitatud s\u00fcsteemides. Projekt p\u00f5hineb fastinit s\u00fcsteemi k\u00e4ivitus tehnoloogiatel, mida kasutatakse Linuxi EeePC netbook'i p\u00fcsivormides ja on tuntud oma v\u00e4ga kiire k\u00e4ivitamisprotsessi poolest. Finit toetab SysV init'i stiilis t\u00f6\u00f6 tasemeid, automaatset teenuse taask\u00e4ivitamist t\u00f5rke korral, \u00fchekordsete t\u00f6\u00f6tlejate t\u00e4itmist, teenuste k\u00e4ivitamist s\u00f5ltuvuste ja suvaliste tingimustega arvestades, lisat\u00f6\u00f6tlejate kinnitamist teenuse t\u00e4itmise eel v\u00f5i j\u00e4rel, pluginate kaudu funktsionaalsuse laiendamist ning piirangute seadmist Cgroups v2 kaudu. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"