CVE-2026-109970
ŚrednieCVSS 4.7Streszczenie
Wada w clevis PKCS#11 pin: skrypt clevis-luks-pkcs11-askpin zapisuje PIN tokenu PKCS#11 w postaci zwykłego tekstu do pliku bez odpowiednich uprawnień. Przy domyślnej masce uprawnień plik jest czytelny dla wszystkich użytkowników. Ponadto plik z PIN-em nie jest niezawodnie usuwany, jeśli skrypt zakończy się wcześniej, pozostawiając PIN dostępny bezterminowo.
Ocena ryzyka
Ryzyko polega na tym, że niepowołane osoby mogą odczytać PIN tokenu PKCS#11, co może prowadzić do nieautoryzowanego dostępu do zaszyfrowanych danych. Dodatkowo pozostawiony plik z PIN-em zwiększa trwałość ekspozycji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie clevis do wersji z poprawką oraz ręczne usunięcie istniejących plików z PIN-ami. Należy również skonfigurować restrykcyjne uprawnienia do plików tymczasowych i zapewnić ich czyszczenie.
Inne podatności w clevis
Zobacz wszystkie- CVE-2026-109971Średnie
W clevis PKCS#11 pin znaleziono wadę: skrypt clevis-decrypt-pkcs11 przekazuje PIN tokena PKCS#11 jako argument wiersza poleceń do pkcs11-tool, co czyni go widocznym dla każdego lokalnego użytkownika poprzez listę procesów lub system plików /proc.
- CVE-2026-109969Średnie
Wada w clevis PKCS#11 pin: demon clevis-pkcs11-afunix-socket-unlock tworzy gniazda AF_UNIX bez jawnych ograniczeń uprawnień lub weryfikacji poświadczeń peer. Przy permisywnej masce uprawnień każdy lokalny użytkownik może połączyć się z gniazdem kontrolnym i wstrzykiwać dowolne pary urządzenie/klucz lub połączyć się z gniazdem danych, aby otrzymać hasła LUKS.
- CVE-2026-109976Średnie
Wada znaleziona w pinie PKCS#11 clevis. Demon clevis-pkcs11-afunix-socket-unlock ulega awarii, gdy klient AF_UNIX łączy się z gniazdem danych bez przypisanego adresu, z powodu niedomiaru liczby całkowitej w obsłudze wyniku getpeername. Powoduje to odmowę usługi, uniemożliwiając odszyfrowanie dysków LUKS podczas uruchamiania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the clevis PKCS#11 pin. The clevis-luks-pkcs11-askpin script writes the PKCS#11 token PIN in plaintext to a file without setting restrictive permissions. Under the default process umask, the file is world-readable. Additionally, the PIN file is not reliably cleaned up if the decryption script exits early, leaving the PIN accessible indefinitely.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS