CVE-2026-109970: PIN-код PKCS#11 в clevis записывается в файл, доступный всем
В clevis обнаружена уязвимость CVE-2026-109970: скрипт clevis-luks-pkcs11-askpin сохраняет PIN-код PKCS#11 в открытом виде в файл без ограничивающих прав доступа. При стандартной маске процессов файл становится доступен для чтения всем пользователям системы, а при раннем завершении скрипта расшифровки PIN-код может остаться на диске на неопределённый срок. Уязвимость затрагивает Red Hat Enterprise Linux 7–10 и Red Hat OpenShift Container Platform 4, уровень опасности — средний (CVSS 4.7).
Подробности
Проблема сосредоточена в скрипте clevis-luks-pkcs11-askpin. При получении PIN-кода от пользователя или из внешнего источника скрипт записывает его в файл в виде открытого текста, не устанавливая при этом ограничительные права доступа. Поскольку права определяются действующей маской процессов (umask) по умолчанию, созданный файл оказывается доступен для чтения всем пользователям системы — то есть любой локальный пользователь может прочитать PIN-код, предназначенный для доступа к токену PKCS#11. Второй аспект уязвимости касается очистки: если скрипт расшифровки завершается досрочно, файл с PIN-кодом не удаляется надёжно. В результате секрет остаётся на файловой системе на неопределённый срок, что расширяет окно возможности для его компрометации — например, при последующем получении доступа к системе или при анализе её образа. Под уязвимость подпадают Red Hat Enterprise Linux 7, 8, 9 и 10, а также Red Hat OpenShift Container Platform 4.Что делать
Основная рекомендация — установить обновлённые пакеты clevis, выпущенные Red Hat для соответствующих версий продуктов, и перезагрузить затронутые системы, чтобы исключить использование уязвимого скрипта. Следите за официальными рекомендациями Red Hat (RHSA) по данному CVE. Если обновление пока невозможно, в качестве временных мер можно:- проверить и при необходимости удалить оставшиеся файлы с PIN-кодами, созданные скриптом clevis-luks-pkcs11-askpin;
- ограничить круг локальных пользователей на системах, где применяется привязка clevis к токенам PKCS#11;
- ужесточить umask для процессов, инициирующих разблокировку, однако это лишь снижает, но не устраняет риск утечки, поскольку проблема очистки файла сохраняется.
Итог
CVE-2026-109970 — это уязвимость локальной утечки секрета: PIN-код токена PKCS#11 может стать доступным другим пользователям системы или остаться на диске после завершения работы скрипта. Несмотря на средний уровень критичности, компрометация PIN-кода способна подорвать модель доверия к автоматической разблокировке томов LUKS. Рекомендуется как можно скорее применить обновления от вендора и провести проверку систем на наличие остаточных файлов с секретами.Источник: CVE Project (cvelistV5)