Nel sistema di inizializzazione finit è stata trovata una vulnerabilità (CVE-2025-29906) che consente di accedere al sistema come qualsiasi utente senza verifica della password. Lo sfruttamento della vulnerabilità avviene tramite manipolazione del prompt di accesso (login) e richiede accesso alla console. La vulnerabilità si manifesta a partire dalla versione 3.0 (ottobre 2017) ed è stata risolta nella release finit 4.11. Successivamente è stata già formata la release 4.12 in cui è stato corretto il buffer overflow nel plugin urandom, non segnato come vulnerabilità.
La vulnerabilità riguarda l'implementazione del programma getty, che mostra il prompt di accesso nel terminale e avvia il processo /bin/login per l'autenticazione dell'utente. La vulnerabilità è causata dall'assenza di separazione degli argomenti della riga di comando durante l'avvio di /bin/login, consentendo di specificare l'opzione "-f" nel nome utente, disabilitando così il controllo della password (ad esempio, è possibile inserire "-f root" invece di "root"). Il problema è stato risolto aggiungendo l'argomento "--" prima del campo del nome utente: — execl(_PATH_LOGIN, _PATH_LOGIN, "-p", name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, "-p", "--", name, NULL);
Come soluzione alternativa per bloccare la vulnerabilità, si raccomanda di utilizzare in finit un'implementazione esterna del processo getty, ad esempio, agetty. Nei distribuitivi Debian 12, Ubuntu, Parrot, Raspbian e Trisquel i pacchetti con finit rimangono ancora senza la correzione della vulnerabilità.
Il sistema di inizializzazione Finit (Fast init) si sviluppa come una semplice alternativa a SysV init e systemd, ed è diventato diffuso nei sistemi embedded. Il progetto si basa sulle tecnologie del sistema di inizializzazione fastinit, utilizzato nel firmware Linux dei netbook EeePC e noto per il suo processo di avvio molto veloce. Finit supporta i livelli di esecuzione (runlevel) in stile SysV init, il riavvio automatico del servizio in caso di guasto, l'esecuzione di handler una tantum, l'avvio di servizi tenendo conto delle dipendenze e di condizioni arbitrarie, l'attacco di handler aggiuntivi per l'esecuzione prima o dopo l'esecuzione del servizio, l'estensione delle funzionalità tramite plugin, la configurazione delle limitazioni tramite Cgroups v2.
Fonte: opennet.ru
