CVE-2026-109969
ŚrednieCVSS 4.7Streszczenie
Wada w clevis PKCS#11 pin: demon clevis-pkcs11-afunix-socket-unlock tworzy gniazda AF_UNIX bez jawnych ograniczeń uprawnień lub weryfikacji poświadczeń peer. Przy permisywnej masce uprawnień każdy lokalny użytkownik może połączyć się z gniazdem kontrolnym i wstrzykiwać dowolne pary urządzenie/klucz lub połączyć się z gniazdem danych, aby otrzymać hasła LUKS.
Ocena ryzyka
Ryzyko obejmuje możliwość przechwycenia haseł LUKS przez lokalnych użytkowników oraz manipulację konfiguracją odblokowywania, co może prowadzić do nieautoryzowanego dostępu do zaszyfrowanych wolumenów.
Rekomendacja
Zaleca się zaktualizowanie clevis do wersji z poprawką oraz ograniczenie uprawnień do gniazd AF_UNIX. Należy również włączyć weryfikację poświadczeń peer i stosować restrykcyjną maskę uprawnień.
Inne podatności w clevis
Zobacz wszystkie- CVE-2026-109971Średnie
W clevis PKCS#11 pin znaleziono wadę: skrypt clevis-decrypt-pkcs11 przekazuje PIN tokena PKCS#11 jako argument wiersza poleceń do pkcs11-tool, co czyni go widocznym dla każdego lokalnego użytkownika poprzez listę procesów lub system plików /proc.
- CVE-2026-109970Średnie
Wada w clevis PKCS#11 pin: skrypt clevis-luks-pkcs11-askpin zapisuje PIN tokenu PKCS#11 w postaci zwykłego tekstu do pliku bez odpowiednich uprawnień. Przy domyślnej masce uprawnień plik jest czytelny dla wszystkich użytkowników. Ponadto plik z PIN-em nie jest niezawodnie usuwany, jeśli skrypt zakończy się wcześniej, pozostawiając PIN dostępny bezterminowo.
- CVE-2026-109976Średnie
Wada znaleziona w pinie PKCS#11 clevis. Demon clevis-pkcs11-afunix-socket-unlock ulega awarii, gdy klient AF_UNIX łączy się z gniazdem danych bez przypisanego adresu, z powodu niedomiaru liczby całkowitej w obsłudze wyniku getpeername. Powoduje to odmowę usługi, uniemożliwiając odszyfrowanie dysków LUKS podczas uruchamiania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the clevis PKCS#11 pin. The clevis-pkcs11-afunix-socket-unlock daemon creates AF_UNIX sockets without explicit permission restrictions or peer credential verification. Under a permissive process umask, any local user can connect to the control socket and inject arbitrary device/key pairs, or connect to the data socket to receive LUKS passphrases.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS