CVE-2026-109971
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W clevis PKCS#11 pin znaleziono wadę: skrypt clevis-decrypt-pkcs11 przekazuje PIN tokena PKCS#11 jako argument wiersza poleceń do pkcs11-tool, co czyni go widocznym dla każdego lokalnego użytkownika poprzez listę procesów lub system plików /proc.
Ocena ryzyka
Lokalny użytkownik może przechwycić PIN tokena, co może prowadzić do nieautoryzowanego dostępu do kluczy kryptograficznych i naruszenia poufności danych.
Rekomendacja
Zaktualizuj clevis do wersji, która nie przekazuje PINu w argumentach wiersza poleceń, lub użyj bezpieczniejszego mechanizmu przekazywania PINu.
Inne podatności w clevis
Zobacz wszystkie- CVE-2026-109968Średnie
Wykryto wadę w pinie clevis PKCS#11. Demon clevis-pkcs11-afunix-socket-unlock zapisuje hasła szyfrowania dysku LUKS w postaci jawnej do pliku dziennika. Plik dziennika jest tworzony bez restrykcyjnych uprawnień, co czyni go czytelnym dla wszystkich przy domyślnym umask procesu. Lokalny atakujący może odczytać plik dziennika, aby uzyskać hasło LUKS.
- CVE-2026-109970Średnie
Wada w clevis PKCS#11 pin: skrypt clevis-luks-pkcs11-askpin zapisuje PIN tokenu PKCS#11 w postaci zwykłego tekstu do pliku bez odpowiednich uprawnień. Przy domyślnej masce uprawnień plik jest czytelny dla wszystkich użytkowników. Ponadto plik z PIN-em nie jest niezawodnie usuwany, jeśli skrypt zakończy się wcześniej, pozostawiając PIN dostępny bezterminowo.
- CVE-2026-109969Średnie
Wada w clevis PKCS#11 pin: demon clevis-pkcs11-afunix-socket-unlock tworzy gniazda AF_UNIX bez jawnych ograniczeń uprawnień lub weryfikacji poświadczeń peer. Przy permisywnej masce uprawnień każdy lokalny użytkownik może połączyć się z gniazdem kontrolnym i wstrzykiwać dowolne pary urządzenie/klucz lub połączyć się z gniazdem danych, aby otrzymać hasła LUKS.
- CVE-2026-109976Średnie
Wada znaleziona w pinie PKCS#11 clevis. Demon clevis-pkcs11-afunix-socket-unlock ulega awarii, gdy klient AF_UNIX łączy się z gniazdem danych bez przypisanego adresu, z powodu niedomiaru liczby całkowitej w obsłudze wyniku getpeername. Powoduje to odmowę usługi, uniemożliwiając odszyfrowanie dysków LUKS podczas uruchamiania.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the clevis PKCS#11 pin. The clevis-decrypt-pkcs11 script passes the PKCS#11 token PIN as a command-line argument to pkcs11-tool, making it visible to any local user through process listing or the /proc filesystem.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS