CVE-2026-109969: отсутствие аутентификации в clevis PKCS#11 позволяет инъекцию ключей через AF_UNIX-сокеты
В компоненте clevis PKCS#11 обнаружена уязвимость: демон clevis-pkcs11-afunix-socket-unlock создаёт AF_UNIX-сокеты без ограничений прав и проверки учётных данных peer-процессов. При разрешающей umask любой локальный пользователь может подключиться к управляющему сокету для инъекции произвольных пар «устройство/ключ» или к сокету данных для получения парольных фраз LUKS. Уязвимость затрагивает Red Hat Enterprise Linux 7–10 и Red Hat OpenShift Container Platform 4, уровень опасности — средний (CVSS 4.7).
Подробности
Уязвимость затрагивает демон clevis-pkcs11-afunix-socket-unlock, входящий в состав пакета clevis. Демон создаёт AF_UNIX-сокеты двух типов — управляющий и сокет данных — без явного ограничения прав доступа и без проверки учётных данных подключающихся процессов (peer credential verification). При разрешающей маске прав процесса (permissive umask) создаваемые сокеты становятся доступны другим локальным пользователям системы. Это открывает два вектора атаки: - подключение к управляющему сокету позволяет внедрить произвольные пары «устройство/ключ»; - подключение к сокету данных позволяет получить парольные фразы LUKS, передаваемые через него. По классификации CVSS уязвимости присвоен базовый балл 4.7, что соответствует среднему уровню опасности. Для эксплуатации злоумышленнику необходим локальный доступ к системе, однако специальные привилегии не требуются — достаточно, чтобы целевой процесс работал с разрешающей umask. Уязвимость подтверждена для следующих продуктов: - Red Hat Enterprise Linux 10; - Red Hat Enterprise Linux 9; - Red Hat Enterprise Linux 8; - Red Hat Enterprise Linux 7; - Red Hat OpenShift Container Platform 4.Что делать
Основная рекомендация — отслеживать выпуск обновлений clevis в каналах Red Hat и установить исправленную версию пакета сразу после её публикации. Поскольку официальный патч на момент публикации записи CVE может быть недоступен, следует рассмотреть компенсирующие меры: - ограничить локальный доступ к системе, исключив присутствие недоверенных пользователей на хостах, где работает clevis PKCS#11; - проверить и ужесточить umask для процесса демона clevis-pkcs11-afunix-socket-unlock, чтобы создаваемые сокеты не были доступны посторонним; - контролировать права и размещение файлов сокетов, создаваемых демоном, и отслеживать несанкционированные подключения к ним; - для контейнерных окружений OpenShift Container Platform 4 — пересмотреть политики доступа и минимизировать состав пользователей, имеющих доступ к узлам. Итог: уязвимость CVE-2026-109969 не позволяет удалённую эксплуатацию, но при наличии локального доступа и разрешающей umask создаёт риск компрометации ключевого материала и парольных фраз LUKS. До выхода официального исправления наиболее эффективной защитой остаётся ограничение локального доступа и корректировка прав на сокеты демона.Источник: CVE Project (cvelistV5)