De ontwikkelaars van het openSUSE-project hebben een kwetsbaarheid (CVE-2025-23013) ontdekt in de PAM-module pam-u2f, die wordt gebruikt bij authenticatie via YubiKey, Yubico Security Key, YubiHSM en andere FIDO-apparaten die het U2F-protocol (Universal 2nd Factor) ondersteunen. De kwetsbaarheid stelt een gebruiker met ongeprivilegieerde lokale toegang tot het systeem in staat om onder bepaalde PAM-configuraties authentificatie te ondergaan zonder de hardwaretoken in te voegen. In de praktijk wordt de pam-u2f-module meestal gebruikt voor multi-factor of wachtwoordloze authenticatie met tokens (bijvoorbeeld ter bevestiging van de bevoegdheden voor het uitvoeren van opdrachten via de utiliteiten su en sudo).
De kwetsbaarheid wordt veroorzaakt door een onjuiste terugkeer van de functie pam_sm_authenticate() met de waarde PAM_IGNORE. Deze waarde wordt geretourneerd in het geval van een fout bij de uitvoering van de aanroepen gethostname(), pam_modutil_drop_priv(), pam_modutil_regain_priv() of resolve_authfile_path(), evenals bij problemen met geheugentoewijzing in strdup() of calloc(). Het probleem is dat de libpam-bibliotheek, bij ontvangst van een resultaat met de code PAM_IGNORE van de PAM-module, de finale code PAM_SUCCESS zal retourneren, wat staat voor een succesvolle authentificatie, als een andere PAM-module in de keten een succesvolle authentificatie heeft geretourneerd.
Bij gebruik van de pam-u2f-module in combinatie met pam_unix voor multi-factor authenticatie, maakt de kwetsbaarheid het mogelijk om succesvol te authentificeren na een correcte wachtwoordverificatie, zonder bevestiging van de tweede factor. Bij het uitvoeren van wachtwoordloze authenticatie met een hardwaretoken kan pam-u2f worden gebruikt in combinatie met de PAM-module pam_faillock, die het aantal authenticatiepogingen beperkt en PAM_SUCCESS retourneert als de limiet niet is bereikt.
Een voorbeeld van een aanval is het omzeilen van de tokenverificatie door een lokale gebruiker die privilegieerde opdrachten uitvoert met behulp van de utiliteiten sudo en su. Tijdens het uitvoeren van deze opdrachten kan de aanvaller omstandigheden creƫren waarin de pam-u2f-module de waarde PAM_IGNORE retourneert, bijvoorbeeld door uitputting van het beschikbare geheugen. Het probleem is opgelost in versie pam-u2f 1.3.1.
Bron: opennet.ru
