2025/02/11 SecurityOnline — Linux システムにおける、X.509 証明書ベースのユーザー・ログインに広く使用されている、PAM-PKCS#11 ログイン・モジュールに、複数の深刻なセキュリティ脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、認証メカニズムをバイパスし、システムへの不正アクセスを達成し、権限を昇格させる機会を手にする。
一連の脆弱性 CVE-2025-24032／CVE-2025-24531／CVE-2025-24031 に対しては、それぞれ 9.2／9.4／5.1 の CVSS スコアが割り当てられており、重大度が高いことが示されている。
CVE-2025-24032：cert_policy のデフォルト値による認証バイパス
この脆弱性は、”cert_policy” パラメータのデフォルト設定が、”none” に設定されていることに起因する。この設定を悪用する攻撃者は、ユーザーの公開データと既知の PIN を用いて不正なトークンを作成し、秘密鍵の署名チェックをバイパスし、システムへの不正アクセスを達成する。
CVE-2025-24531：エラー状況における認証バイパス
この脆弱性により、特定のエラー状況を悪用する攻撃者は、スマート・カードなどのデバイスを用いてログインする際に認証をバイパスできる。この脆弱性は、PAM-PKCS#11 バージョン 0.6.12 への変更に混入したものであり、エラー状況におけるデフォルトの戻りコードを、PAM_IGNORE に変更してしまうという。それにより、エラー状況を悪用する攻撃者は、不正アクセスを達成する。
CVE-2025-24031：PIN を要求されたときの Ctrl-C/Ctrl-D でのセグメンテーション ・エラー
この脆弱性により、PIN プロンプトに対して Ctrl-C／Ctrl-D が入力されると、PAM-PKCS#11 モジュールがクラッシュしてしまう。この脆弱性により、権限昇格にダイレクトにつながることはないとされるが、サービスの中断や拒否の状態を引き起こす可能性がある。
推奨事項
PAM-PKCS#11 のユーザーに対して強く推奨されるのは、最新のパッチ・バージョンに更新し、システムを保護することである。すでに PAM-PKCS#11 のメンテナは、これらの脆弱性に対する修正をリリースしている。ユーザーにとって必要なことは、可能な限り早急にパッチを適用し、悪用のリスクを軽減することだ。
また、パッチ適用に加えて、多要素認証の有効化や、機密システムへのアクセス制限などの、追加のセキュリティ対策の実装も検討すべきだろう。
Linux PAM-PKCS#11 ログイン・モジュールの複数の脆弱性が FIX しました。その中でも、CVE-2025-24031 は、CVSS 値が 9.4 ですので、ご注意ください。Linux に関連する直近の脆弱性は、2025/01/29 の「Linux Kernel eBPF の脆弱性 CVE-2024-56614／56615 が FIX：PoC もリリース」です。よろしければ、Linux で検索と併せて、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.