🟡 CVE-2026-54411: Medium Schwachstelle

„`html

Zusammenfassung

CVE-2026-54411 beschreibt eine Timing-Seitenkanal-Schwachstelle im PAM-Authentifizierungsmodul pam_userdb. Ein Angreifer kann durch wiederholte Authentifizierungsversuche und Zeitmessungen Passwörter im Klartext auslesen, wenn die Verschlüsselung deaktiviert ist.

Betroffene Systeme

Linux-PAM bis Version 1.7.2 ist von dieser Schwachstelle betroffen. Besonders kritisch sind Systeme, die das pam_userdb-Modul mit folgenden Konfigurationen einsetzen:

• crypt=none (Verschlüsselung explizit deaktiviert)
• Unbekannte oder nicht erkannte Verschlüsselungsmethoden
• Fehlender crypt=-Parameter (Standardverhalten)

Technische Details

Die Schwachstelle liegt in der Datei modules/pam_userdb/pam_userdb.c. Der vulnerable Code führt einen Längenvergleich durch, bevor die Passwörter mittels strncmp() oder strncasecmp() verglichen werden. Dies erzeugt messbare Unterschiede in der Antwortzeit:

• Passwortlänge wird durch unterschiedliche Verarbeitungszeiten preisgegeben
• Einzelne Präfix-Bytes können durch iteratives Testen ermittelt werden
• Der Zeitunterschied ist abhängig vom Index des ersten unterschiedlichen Zeichens

Die Attacke ist remote oder lokal möglich und erfordert wiederholten Zugriff auf einen Authentifizierungsdienst, um die Timing-Differenzen zu messen.

Empfohlene Massnahmen

• Linux-PAM auf Version über 1.7.2 aktualisieren (sobald verfügbar)
• pam_userdb-Modul mit aktivierter Verschlüsselung konfigurieren (crypt=sha512 oder stärker)
• Niemals Klartext-Passwörter in PAM-Datenbanken speichern
• Monitoring und Rate-Limiting für wiederholte Authentifizierungsversuche implementieren
• Alternative Authentifizierungsmechanismen (LDAP, Kerberos) erwägen

Bewertung

CVSS 5.9 (Medium) – Authentifizierung erforderlich, aber potenziell hoher Informationsgewinn für Angreifer. Die praktische Ausnutzbarkeit hängt von Netzwerkaccessibilität und Systemkonfiguration ab.

„`