Zhvilluesit e projektit openSUSE zbuluan nj\u00eb dob\u00ebsi (CVE-2025-23013) n\u00eb modul\u00ebn PAM pam-u2f, e cila p\u00ebrdoret p\u00ebr autentikimin n\u00ebp\u00ebrmjet tokeneve YubiKey, Yubico Security Key, YubiHSM dhe pajisjeve t\u00eb tjera FIDO q\u00eb mb\u00ebshtesin protokollin U2F (Universal 2nd Factor). Dob\u00ebsia lejon nj\u00eb p\u00ebrdorues me qasje lokale jo privilegjuar n\u00eb sistem, n\u00eb disa konfigurime t\u00eb PAM, t\u00eb kaloj\u00eb autentikimin pa futur tokenin harduerik. N\u00eb praktik\u00eb, moduli pam-u2f zakonisht aktivizohet p\u00ebr autentikim me dy faktor\u00eb ose pa fjal\u00ebkalim duke p\u00ebrdorur tokenet (p\u00ebr shembull, p\u00ebr t\u00eb konfirmuar autorizimet p\u00ebr ekzekutimin e komandave p\u00ebrmes utiliteteve su dhe sudo). <\/p>\n
Dob\u00ebsia shkaktohet nga kthimi i gabuar nga funksioni pam_sm_authenticate() i vler\u00ebs PAM_IGNORE. Ky vler\u00ebs kthehet n\u00eb rast t\u00eb gabimit gjat\u00eb thirrjeve gethostname(), pam_modutil_drop_priv(), pam_modutil_regain_priv() ose resolve_authfile_path(), si dhe gjat\u00eb problemeve me alokimin e memories n\u00eb strdup() ose calloc(). Problemi \u00ebsht\u00eb se biblioteka libpam, kur merr nga moduli PAM rezultatin me kodin PAM_IGNORE, do t\u00eb kthej\u00eb kodin p\u00ebrfundimtar PAM_SUCCESS, q\u00eb tregon kalimin e suksessh\u00ebm t\u00eb autentikimit, n\u00ebse n\u00eb zinxhirin e verifikimeve ndonj\u00eb modul tjet\u00ebr PAM ktheu nj\u00eb rezultat t\u00eb suksessh\u00ebm t\u00eb autentikimit. <\/p>\n
Kur p\u00ebrdoret moduli pam-u2f n\u00eb lidhje me pam_unix p\u00ebr autentikimin me dy faktor\u00eb, dob\u00ebsia lejon kalimin e suksessh\u00ebm t\u00eb autentikimit n\u00eb rastin e verifikimit t\u00eb suksessh\u00ebm t\u00eb fjal\u00ebkalimit, pa konfirmimin e faktorit t\u00eb dyt\u00eb. Kur kryhet autentikimi pa fjal\u00ebkalim me nj\u00eb token harduerik, pam-u2f mund t\u00eb p\u00ebrdoret n\u00eb lidhje me modul\u00ebn PAM pam_faillock, e cila kufizon numrin e p\u00ebrpjekjeve t\u00eb autentikimit dhe kthen PAM_SUCCESS, n\u00ebse limiti nuk \u00ebsht\u00eb e p\u00ebrmbushur. <\/p>\n
Si nj\u00eb shembull sulmi, p\u00ebrmendet kalimi i kontrollit t\u00eb tokenit gjat\u00eb ekzekutimit t\u00eb komandave me privilegje nga p\u00ebrdoruesi lokal, duke p\u00ebrdorur utilitetet sudo dhe su. Gjat\u00eb ekzekutimit t\u00eb k\u00ebtyre komandave, sulmuesi mund t\u00eb krijoj\u00eb kushte q\u00eb t\u00eb shkaktojn\u00eb kthimin nga moduli pam-u2f t\u00eb vler\u00ebs PAM_IGNORE, p\u00ebr shembull, p\u00ebrmes shterimit t\u00eb memories s\u00eb disponueshme. Problemi \u00ebsht\u00eb zgjidhur n\u00eb versionin pam-u2f 1.3.1. \n Burimi: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"