CVE-2026-12610
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 — wyżej niż 5% wszystkich znanych CVE
Streszczenie
W bibliotece SSSD (System Security Services Daemon) wykryto podatność use-after-free w komponencie PAM odpowiedzialnym za uwierzytelnianie za pomocą YubiKey. Błąd wynika z nieprawidłowego zarządzania wskaźnikiem pamięci, co może prowadzić do awarii procesu. Lokalny atakujący może wykorzystać tę lukę poprzez manipulację zawartością karty inteligentnej lub YubiKey.
Ocena ryzyka
Podatność umożliwia lokalnemu atakującemu przeprowadzenie ataku typu Denial of Service (DoS), zakłócając proces uwierzytelniania w systemie. Istnieje również potencjalne ryzyko eskalacji uprawnień, choć jest ono trudne do wykorzystania.
Rekomendacja
Należy niezwłocznie zaktualizować SSSD do najnowszej wersji zawierającej poprawkę usuwającą błąd use-after-free. Do czasu aktualizacji zaleca się ograniczenie dostępu fizycznego do stacji roboczych oraz monitorowanie logów pod kątem nietypowych zdarzeń związanych z uwierzytelnianiem YubiKey.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in sssd. When authenticating with a YubiKey, the SSSD PAM responder can crash due to a use-after-free vulnerability, where a memory pointer is incorrectly handled. A local attacker could exploit this flaw by manipulating smartcard or YubiKey contents, leading to a denial of service that disrupts authentication. This vulnerability also presents a potential for privilege escalation, although it is difficult to exploit.