A finit inicializáló rendszerben felfedeztek egy sebezhetőséget (CVE-2025-29906), amely lehetővé teszi, hogy bármilyen felhasználó belépjen a rendszerbe jelszó ellenőrzés nélkül. A sebezhetőség kihasználása a bejelentkezési prompt manipulálásával történik, és konzol hozzáférést igényel. A sebezhetőség a 3.0 verziótól jelentkezik (2017 októberétől), és a finit 4.11 kiadásában javították. Ezt követően már létrehozták a 4.12 kiadást, amelyben javították az urandom pluginben felfedezett puffertúltöltést, amely nem volt kijelölve sebezhetőségként.
A sebezhetőség a getty program megvalósítását érinti, amely a terminál bejelentkezési promptját jeleníti meg, és elindítja a /bin/login folyamatot a felhasználó azonosításához. A sebezhetőség abból adódik, hogy a parancssori argumentumok nincsenek elválasztva a /bin/login indításakor, ami lehetővé tette a „-f” opció megadását a felhasználónévben, amellyel kikapcsolható a jelszó ellenőrzése (például be lehet írni a „-f root”-ot a „root” helyett). A problémát úgy oldották meg, hogy argumentumként „—” került a felhasználónév mező elé: — execl(_PATH_LOGIN, _PATH_LOGIN, „-p”, name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, „-p”, „—“, name, NULL);
A sebezhetőség blokkolásának alternatívájaként javasolt a finit keretében az getty folyamat külső megvalósításának használata, például az agetty-t. A Debian 12, Ubuntu, Parrot, Raspbian és Trisquel disztribúciókban a finit csomagok egyelőre hibajavítás nélkül maradnak.
A Finit inicializáló rendszer (Fast init) egyszerű alternatívaként fejlődik a SysV init és a systemd mellett, és elterjedt beágyazott rendszerekben. A projekt a fastinit inicializáló rendszer technológiáin alapul, amelyet az EeePC netbookok Linux firmware-jében használtak, és amelyet a nagyon gyors indítási folyamat jellemez. A Finit támogatja a SysV init stílusú végrehajtási szinteket (runlevel), a szolgáltatás automatikus újraindítását hiba esetén, egyszeri kezelők végrehajtását, a szolgáltatások indítását függőségekkel és tetszőleges feltételekkel, további kezelők csatolását a szolgáltatás végrehajtása előtt vagy után, funkciók bővítését plugineken keresztül, valamint korlátozások beállítását a Cgroups v2 segítségével.
Forrás: opennet.ru
