V systéme inicializácie finit bola zistená zraniteľnosť (CVE-2025-29906), ktorá umožňuje prihlásenie do systému ako akýkoľvek užívateľ bez overenia hesla. Využitie zraniteľnosti sa realizuje manipuláciou s prihlasovacím príkazom (login) a vyžaduje prístup k konzole. Zraniteľnosť sa prejavuje od verzie 3.0 (október 2017) a bola odstránená v vydaní finit 4.11. Následne už bol vytvorený release 4.12, v ktorom bola odstránená pretečenie vyrovnávacej pamäte v plugine urandom, ktorá nie je označená ako zraniteľnosť.
Zraniteľnosť sa týka implementácie programu getty, ktorý zobrazuje prihlasovací príkaz v termináli a spúšťa proces /bin/login na autentifikáciu užívateľa. Zraniteľnosť je spôsobená absenciou oddelenia argumentov príkazového riadka pri spúšťaní /bin/login, čo umožnilo zadať voľbu „-f“ v mene užívateľa, ktorá vypína overenie hesla (napríklad, môže byť zadané „-f root“ namiesto „root“). Problém bol vyriešený pridaním argumentu „—“ pred pole s menom užívateľa: — execl(_PATH_LOGIN, _PATH_LOGIN, „-p“, name, NULL); + execl(_PATH_LOGIN, _PATH_LOGIN, „-p“, „—“, name, NULL);
Ako obchádzajúcu cestu na zablokovanie zraniteľnosti sa odporúča použiť vo finit externú implementáciu procesu getty, napríklad agetty. V distribúciách Debian 12, Ubuntu, Parrot, Raspbian a Trisquel zatiaľ zostávajú balíky s finit neopravené voči zraniteľnosti.
Systém inicializácie Finit (Fast init) sa vyvíja ako jednoduchá alternatíva k SysV init a systemd a rozšíril sa v zabudovaných systémoch. Projekt je založený na technológii systému inicializácie fastinit, používaného v Linuxových firmvérach netbookov EeePC, a vyniká veľmi rýchlym procesom spúšťania. Finit podporuje úrovne vykonávania (runlevel) v štýle SysV init, automatické reštartovanie služby v prípade zlyhania, vykonávanie jednorázových spracovateľov, spúšťanie služieb s prihliadnutím na závislosti a ľubovoľné podmienky, pripojenie dodatočných spracovateľov na spustenie pred alebo po vykonaní služby, rozšírenie funkčnosti cez pluginy, nastavenie obmedzení cez Cgroups v2.
Zdroj: opennet.ru
