CVE-2026-109968
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
Wykryto wadę w pinie clevis PKCS#11. Demon clevis-pkcs11-afunix-socket-unlock zapisuje hasła szyfrowania dysku LUKS w postaci jawnej do pliku dziennika. Plik dziennika jest tworzony bez restrykcyjnych uprawnień, co czyni go czytelnym dla wszystkich przy domyślnym umask procesu. Lokalny atakujący może odczytać plik dziennika, aby uzyskać hasło LUKS.
Ocena ryzyka
Lokalny atakujący może odczytać hasło szyfrowania dysku LUKS z pliku dziennika, co prowadzi do ujawnienia danych uwierzytelniających. Może to umożliwić odszyfrowanie chronionych dysków i uzyskanie dostępu do poufnych danych.
Rekomendacja
Zaktualizuj clevis do wersji zawierającej poprawkę lub ogranicz uprawnienia plików dziennika tworzonych przez demon clevis-pkcs11-afunix-socket-unlock. Rozważ wyłączenie lub zmianę konfiguracji logowania haseł LUKS oraz rotację potencjalnie ujawnionych haseł.
Inne podatności w clevis
Zobacz wszystkie- CVE-2026-109971Średnie
W clevis PKCS#11 pin znaleziono wadę: skrypt clevis-decrypt-pkcs11 przekazuje PIN tokena PKCS#11 jako argument wiersza poleceń do pkcs11-tool, co czyni go widocznym dla każdego lokalnego użytkownika poprzez listę procesów lub system plików /proc.
- CVE-2026-109970Średnie
Wada w clevis PKCS#11 pin: skrypt clevis-luks-pkcs11-askpin zapisuje PIN tokenu PKCS#11 w postaci zwykłego tekstu do pliku bez odpowiednich uprawnień. Przy domyślnej masce uprawnień plik jest czytelny dla wszystkich użytkowników. Ponadto plik z PIN-em nie jest niezawodnie usuwany, jeśli skrypt zakończy się wcześniej, pozostawiając PIN dostępny bezterminowo.
- CVE-2026-109969Średnie
Wada w clevis PKCS#11 pin: demon clevis-pkcs11-afunix-socket-unlock tworzy gniazda AF_UNIX bez jawnych ograniczeń uprawnień lub weryfikacji poświadczeń peer. Przy permisywnej masce uprawnień każdy lokalny użytkownik może połączyć się z gniazdem kontrolnym i wstrzykiwać dowolne pary urządzenie/klucz lub połączyć się z gniazdem danych, aby otrzymać hasła LUKS.
- CVE-2026-109976Średnie
Wada znaleziona w pinie PKCS#11 clevis. Demon clevis-pkcs11-afunix-socket-unlock ulega awarii, gdy klient AF_UNIX łączy się z gniazdem danych bez przypisanego adresu, z powodu niedomiaru liczby całkowitej w obsłudze wyniku getpeername. Powoduje to odmowę usługi, uniemożliwiając odszyfrowanie dysków LUKS podczas uruchamiania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the clevis PKCS#11 pin. The clevis-pkcs11-afunix-socket-unlock daemon logs LUKS disk encryption passphrases in plaintext to a log file. The log file is created without restrictive permissions, making it world-readable under the default process umask. A local attacker can read the log file to obtain the LUKS passphrase.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS