Уязвимость BDU:2025-01619
Идентификатор: BDU:2025-01619.
Наименование уязвимости: Уязвимость функции pam_sm_authenticate() модуля аутентификации PAM-PKCS#11 операционных систем Linux, позволяющая нарушителю обойти процедуру аутентификации и получить несанкционированный доступ к защищаемой информации.
Описание уязвимости: Уязвимость функции pam_sm_authenticate() модуля аутентификации PAM-PKCS#11 операционных систем Linux связана с ошибками аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации и получить несанкционированный доступ к защищаемой информации
Уязвимое ПО: Прикладное ПО информационных систем OpenSC Project PAM-PKCS#11 0.6.12 |
Наименование ОС и тип аппаратной платформы: Linux — |
Дата выявления: 06.11.2024.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:P
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,7)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,4)
Возможные меры по устранению:
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— использование многофакторной аутентификации;
— использование систем мониторинга событий для отслеживания попыток аутентификации.
Использование рекомендаций производителя:
https://github.com/OpenSC/pam_pkcs11/commit/2ecba68d404c3112546a9e802e3776b9f6c50a6a
https://github.com/OpenSC/pam_pkcs11/releases/tag/pam_pkcs11-0.6.13.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-24531.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://securityonline.info/cve-2025-24032-cve-2025-24531-and-more-critical-flaws-in-pam-pkcs11-expose-linux-authentication-to-attackers/
https://seclists.org/oss-sec/2025/q1/113
https://www.openwall.com/lists/oss-security/2025/02/06/3
