CVE-2026-109971: PIN-код PKCS#11-токена Clevis раскрывается через командную строку
В компоненте clevis обнаружена уязвимость, из-за которой PIN-код PKCS#11-токена передаётся в командную строку утилиты pkcs11-tool и становится виден любому локальному пользователю через список процессов или файловую систему /proc. Проблема затрагивает ряд версий Red Hat Enterprise Linux и Red Hat OpenShift Container Platform 4. Критичность — средняя (CVSS 4.7).
Подробности
Проблема затрагивает скрипт clevis-decrypt-pkcs11, входящий в состав clevis — инструмента для автоматического разблокирования зашифрованных томов и привязки ключей шифрования к внешним устройствам и сервисам. При выполнении расшифровки скрипт передаёт PIN-код PKCS#11-токена в качестве аргумента командной строки утилите pkcs11-tool. Подобная практика считается небезопасной: аргументы командной строки процесса доступны для просмотра другим локальным пользователям через утилиты наподобие ps или посредством чтения файловой системы /proc. Таким образом, злоумышленник, уже имеющий непривилегированный доступ к системе, может получить PIN-код токена и в дальнейшем использовать его для доступа к защищённым ключам — в зависимости от модели угроз и конфигурации это способно привести к компрометации хранимых секретов. Уязвимость присутствует в следующих продуктах Red Hat: - Red Hat Enterprise Linux 7; - Red Hat Enterprise Linux 8; - Red Hat Enterprise Linux 9; - Red Hat Enterprise Linux 10; - Red Hat OpenShift Container Platform 4. Поскольку clevis широко применяется для шифрования дисков и привязки ключей, проблема актуальна как для серверных, так и для контейнерных окружений. Стоит отметить, что эксплуатация требует наличия локального доступа к системе, что несколько снижает общий уровень риска, однако в многопользовательских и контейнерных средах он остаётся значимым.Что делать
Рекомендуется установить обновления clevis, выпущенные Red Hat для затронутых версий продуктов. Следует отслеживать официальные рекомендации вендора (RHSA) и применять их в приоритетном порядке в системах, где clevis используется совместно с PKCS#11-токенами. Если немедленное обновление невозможно, в качестве временных мер можно рассмотреть: - ограничение локального доступа к системам, использующим clevis с PKCS#11; - сокращение числа пользователей и процессов, имеющих возможность читать /proc и просматривать список процессов; - по возможности — переход на альтернативные способы привязки ключей (например, TPM или Tang), если они применимы в вашей инфраструктуре. Также рекомендуется проверить журналы на предмет подозрительной активности, связанной с запуском pkcs11-tool, и рассмотреть ротацию PIN-кодов токенов, которые могли быть скомпрометированы. Итог: CVE-2026-109971 — умеренно опасная уязвимость, позволяющая локальному пользователю узнать PIN-код PKCS#11-токена через аргументы командной строки. Основная мера защиты — своевременное обновление clevis в продуктах Red Hat; в качестве дополнительной защиты стоит ограничить локальный доступ и рассмотреть ротацию затронутых PIN-кодов.Источник: CVE Project (cvelistV5)