Nel sistema di init finit è stata trovata una vulnerabilità (CVE-2025-29906) che consente di accedere al sistema con qualsiasi utente senza controllare la password. Sfruttare la vulnerabilità richiede la manipolazione del prompt di accesso (login) e l'accesso alla console. La vulnerabilità si manifesta a partire dalla versione 3.0 (ottobre 2017) ed è stata corretta nella versione finit 4.11. Successivamente è stata già creata la versione 4.12, in cui è stata risolta un'overflow di buffer nel plugin urandom, non contrassegnato come vulnerabilità.
La vulnerabilità colpisce l'implementazione del programma getty, che visualizza il prompt di accesso nel terminale e avvia il processo /bin/login per l'autenticazione dell'utente. La vulnerabilità è causata dalla mancanza di separazione degli argomenti della riga di comando durante l'avvio di /bin/login, permettendo di specificare l'opzione «-f» nel nome utente, disabilitando così il controllo della password (ad esempio, si può digitare «-f root» invece di «root»). Il problema è stato risolto aggiungendo l'argomento «—» prima del campo con il nome utente: — execl(_PATH_LOGIN, _PATH_LOGIN, «-p», name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, «-p», «—«, name, NULL);
Come soluzione alternativa per bloccare la vulnerabilità, si consiglia di utilizzare in finit un'implementazione esterna del processo getty, ad esempio agetty. Nei pacchetti delle distribuzioni Debian 12, Ubuntu, Parrot, Raspbian e Trisquel, i pacchetti con finit rimangono ancora senza correzioni per la vulnerabilità.
Il sistema di inizializzazione Finit (Fast init) si sviluppa come una semplice alternativa a SysV init e systemd, ed è diffuso nei sistemi embedded. Il progetto si basa sulle tecnologie del sistema di inizializzazione fastinit, utilizzato nel firmware Linux dei netbook EeePC ed è noto per il suo processo di avvio molto veloce. Finit supporta i livelli di esecuzione (runlevel) in stile SysV init, il riavvio automatico del servizio in caso di errore, l'esecuzione di gestori una tantum, l'avvio dei servizi tenendo conto delle dipendenze e delle condizioni arbitrarie, l'aggiunta di gestori supplementari per l'avvio prima o dopo l'esecuzione del servizio e l'espansione delle funzionalità tramite plugin, oltre alla configurazione dei limiti tramite Cgroups v2.
Fonte: opennet.ru
