{"id":123909,"date":"2025-05-01T15:05:06","date_gmt":"2025-05-01T13:05:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya"},"modified":"2025-05-01T15:05:06","modified_gmt":"2025-05-01T13:05:06","slug":"uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-sisteme-iniczializaczii-finit-pozvolyayushhaya-vojti-v-sistemu-bez-parolya","title":{"rendered":"Kwetsbaarheid in het finit-init systeem waardoor toegang zonder wachtwoord mogelijk is","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In het initialisatiesysteem finit is een kwetsbaarheid ontdekt (CVE-2025-29906), die het mogelijk maakt om zonder wachtwoord met elk gebruikersaccount in te loggen. De exploitatie van deze kwetsbaarheid gebeurt via manipulatie van de inlogprompt en vereist toegang tot de console. De kwetsbaarheid doet zich voor vanaf versie 3.0 (oktober 2017) en is verholpen in de release finit 4.11. Vervolgens is al release 4.12 gecre\u00eberd, waarin een buffer overflow in de urandom-plug-in is verholpen, die niet als een kwetsbaarheid is gemarkeerd. <\/p>\n
De kwetsbaarheid betreft de implementatie van het programma getty, dat een aanmeldprompt voor de terminal toont en het proces \/bin\/login start voor de authenticatie van de gebruiker. De kwetsbaarheid is veroorzaakt door het ontbreken van argumentenscheiding bij de commandoregel tijdens het starten van \/bin\/login, waardoor het mogelijk was om de optie \u2018-f\u2019 in de gebruikersnaam op te geven, wat de wachtwoordcontrole uitschakelde (bijvoorbeeld, men kon \u2018-f root\u2019 invoeren in plaats van \u2018root\u2019). Het probleem is opgelost door het toevoegen van het argument \u2018--\u2019 v\u00f3\u00f3r het veld voor de gebruikersnaam: execl(_PATH_LOGIN, _PATH_LOGIN, \u2018-p\u2019, name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, \u2018-p\u2019, \u2018--\u2019, name, NULL); <\/p>\n
Als een tijdelijke oplossing om de kwetsbaarheid te blokkeren, wordt aanbevolen om in finit een externe implementatie van het getty-proces te gebruiken, bijvoorbeeld agetty. In de distributies Debian 12, Ubuntu, Parrot, Raspbian en Trisquel blijven de pakketten met finit voorlopig zonder oplossing voor de kwetsbaarheid. <\/p>\n
Het initialisatiesysteem Finit (Fast init) ontwikkelt zich als een eenvoudige alternatieve oplossing voor SysV init en systemd, en wordt veel gebruikt in embedded systemen. Het project is gebaseerd op de technologie\u00ebn van het initialisatiesysteem fastinit, dat werd gebruikt in de Linux-firmware van netbooks EeePC en opvalt door het zeer snelle opstartproces. Finit ondersteunt uitvoering niveaus (runlevel) in de stijl van SysV init, automatische herstart van service bij een storing, uitvoering van eenmalige handlers, opstarten van services rekening houdend met afhankelijkheden en willekeurige voorwaarden, het aanmelden van extra handlers voor opstarten v\u00f3\u00f3r of na de uitvoering van de service, uitbreiding van functionaliteiten via plugins, en het instellen van beperkingen via Cgroups v2. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"