Ekspertët nga Qualys Labs kanë zbuluar disa probleme sigurie që lidhen me aftësinë për të mashtruar programet përgjegjëse për mekanizmat e kontrollit të fjalëkalimeve të përdorura në BSD (analoge me PAM). Truku është të kalosh emrin e përdoruesit "-challenge" ose "-schallenge:passwd", i cili më pas interpretohet jo si një emër përdoruesi, por si një opsion. Pas kësaj, sistemi pranon çdo fjalëkalim. E cenueshme, d.m.th. Si rezultat, aksesi i paautorizuar lejohet nga shërbimet smtpd, ldapd, radiusd. Shërbimi sshd nuk mund të shfrytëzohet, pasi sshd më pas vëren se "-sfida" e përdoruesit nuk ekziston në të vërtetë. Programi su prishet kur përpiqet ta shfrytëzojë atë, sepse gjithashtu përpiqet të zbulojë uid-in e një përdoruesi që nuk ekziston.
Dobësi të ndryshme u zbuluan gjithashtu në xlock, në autorizim nëpërmjet S/Key dhe Yubikey, si dhe në su, që nuk lidhen me specifikimin e përdoruesit "-sfidë". Një dobësi në xlock lejon një përdorues normal të përshkallëzojë privilegjet në grupin e autoritetit. Është e mundur të përshkallëzohen privilegjet nga grupi auth te përdoruesi rrënjë përmes funksionimit të gabuar të mekanizmave të autorizimit S/Key dhe Yubikey, por kjo nuk funksionon në konfigurimin e paracaktuar të OpenBSD sepse autorizimi S/Key dhe Yubikey janë çaktivizuar. Së fundi, një dobësi në su i lejon përdoruesit të rrisë kufijtë në burimet e sistemit, siç është numri i përshkruesve të skedarëve të hapur.
Për momentin, dobësitë janë rregulluar, përditësimet e sigurisë janë të disponueshme përmes mekanizmit standard syspatch(8).
Burimi: linux.org.ru
