CVE-2026-109971
ŚrednieCVSS 4.7Streszczenie
W clevis PKCS#11 pin znaleziono wadę: skrypt clevis-decrypt-pkcs11 przekazuje PIN tokena PKCS#11 jako argument wiersza poleceń do pkcs11-tool, co czyni go widocznym dla każdego lokalnego użytkownika poprzez listę procesów lub system plików /proc.
Ocena ryzyka
Lokalny użytkownik może przechwycić PIN tokena, co może prowadzić do nieautoryzowanego dostępu do kluczy kryptograficznych i naruszenia poufności danych.
Rekomendacja
Zaktualizuj clevis do wersji, która nie przekazuje PINu w argumentach wiersza poleceń, lub użyj bezpieczniejszego mechanizmu przekazywania PINu.
Inne podatności w clevis
Zobacz wszystkie- CVE-2026-109970Średnie
Wada w clevis PKCS#11 pin: skrypt clevis-luks-pkcs11-askpin zapisuje PIN tokenu PKCS#11 w postaci zwykłego tekstu do pliku bez odpowiednich uprawnień. Przy domyślnej masce uprawnień plik jest czytelny dla wszystkich użytkowników. Ponadto plik z PIN-em nie jest niezawodnie usuwany, jeśli skrypt zakończy się wcześniej, pozostawiając PIN dostępny bezterminowo.
- CVE-2026-109969Średnie
Wada w clevis PKCS#11 pin: demon clevis-pkcs11-afunix-socket-unlock tworzy gniazda AF_UNIX bez jawnych ograniczeń uprawnień lub weryfikacji poświadczeń peer. Przy permisywnej masce uprawnień każdy lokalny użytkownik może połączyć się z gniazdem kontrolnym i wstrzykiwać dowolne pary urządzenie/klucz lub połączyć się z gniazdem danych, aby otrzymać hasła LUKS.
- CVE-2026-109976Średnie
Wada znaleziona w pinie PKCS#11 clevis. Demon clevis-pkcs11-afunix-socket-unlock ulega awarii, gdy klient AF_UNIX łączy się z gniazdem danych bez przypisanego adresu, z powodu niedomiaru liczby całkowitej w obsłudze wyniku getpeername. Powoduje to odmowę usługi, uniemożliwiając odszyfrowanie dysków LUKS podczas uruchamiania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the clevis PKCS#11 pin. The clevis-decrypt-pkcs11 script passes the PKCS#11 token PIN as a command-line argument to pkcs11-tool, making it visible to any local user through process listing or the /proc filesystem.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS