CVE-2025-24032, CVE-2025-24531 et plus : des failles critiques dans PAM-PKCS#11 exposent l’authentification Linux aux attaquants
Le module de connexion PAM-PKCS#11, un outil largement utilisé pour la connexion des utilisateurs basée sur des certificats X.509 sur les systèmes Linux, contient plusieurs vulnérabilités de sécurité critiques. Ces vulnérabilités pourraient permettre aux attaquants de contourner les mécanismes d’authentification, d’obtenir un accès non autorisé aux systèmes et potentiellement d’augmenter leurs privilèges.
Les vulnérabilités, identifiées comme CVE-2025-24032, CVE-2025-24531 et CVE-2025-24031, se sont vu attribuer des scores CVSS de 9,2, 9,4 et 5,1, indiquant leur gravité élevée.
CVE-2025-24032 : Contournement de l’authentification avec valeur par défaut pour cert_policy
Cette vulnérabilité provient du paramètre par défaut cert_policy , défini sur none . Ce paramètre permet aux attaquants de créer un jeton malveillant avec les données publiques de l’utilisateur et un code PIN connu, contournant ainsi la vérification de la signature de la clé privée et accédant au système.
CVE-2025-24531 : Contournement de l’authentification dans les situations d’erreur
Cette vulnérabilité permet aux attaquants de contourner l’authentification dans certaines situations d’erreur, notamment lors de l’utilisation de cartes à puce ou de dispositifs similaires pour la connexion. La vulnérabilité résulte d’un changement dans la version 0.6.12 de PAM-PKCS#11, où le code de retour par défaut sur les conditions d’erreur a été modifié en PAM_IGNORE . Cela permet aux attaquants d’exploiter les conditions d’erreur pour obtenir un accès non autorisé.
CVE-2025-24031 : Défaut de segmentation sur Ctrl-C/Ctrl-D lors de la demande de code PIN
Cette vulnérabilité provoque le blocage du module PAM-PKCS#11 lorsqu’un utilisateur appuie sur Ctrl-C ou Ctrl-D pendant l’invite de saisie du code PIN. Bien que cette vulnérabilité ne conduise pas directement à une élévation des privilèges, elle pourrait être utilisée pour perturber les services ou potentiellement créer des conditions de déni de service.
Recommandations
Il est fortement conseillé aux utilisateurs de PAM-PKCS#11 de mettre à jour leurs systèmes vers les dernières versions corrigées . Les responsables de PAM-PKCS#11 ont publié des correctifs pour ces vulnérabilités, et les utilisateurs doivent appliquer les correctifs dès que possible pour atténuer le risque d’exploitation.
Outre les correctifs, les utilisateurs peuvent également envisager de mettre en œuvre des mesures de sécurité supplémentaires, telles que l’activation de l’authentification multifacteur et la restriction de l’accès aux systèmes sensibles.
