Mcdope

pam usb provides hardware authentication for Linux using removable media. Prior to version 0.9.3, src/local.c reads XRDP SESSION with plain getenv(3) at the head of pusb local login while every other env consumer in the same function uses secure getenv(3). When pam usb.so loads into a setuid PAM host, the calling user controls the environment passed in. Clearing XRDP SESSION before invoking the host bypasses the explicit XRDP-deny rule. Other remote-detection signals (rmsvc, evdev, loginctl, utmp) may still catch the session, but the env-based detection alone is defeated. This issue has been patched in version 0.9.3.

pam usb provides hardware authentication for Linux using removable media. Prior to version 0.9.3, src/local.c (pusb get tty from display server) allocates a 4096-byte cmdline buffer, reads up to 4096 bytes from /proc//cmdline, then replaces every NUL separator with a space. When read(2) returns exactly 4096 bytes for any process the function inspects, the buffer ends without a terminator and the subsequent strstr() calls scan past the allocation boundary. The function is invoked during normal PAM authentication when DISPLAY is set, so the read fires for every process at auth time. Consequences are bounded: strstr output is a Boolean substring match (limited info-disclosure surface) but a hostile heap layout can produce a SIGSEGV that terminates the host PAM process. This issue has been patched in version 0.9.3.

pam usb provides hardware authentication for Linux using removable media. From version 0.8.0 to before version 0.9.3, the deny remote feature in pam usb uses /usr/bin/w -i to detect whether the authenticating user has an active remote tmux session. In pusb tmux has remote clients() (src/tmux.c), the IPv6 detection regex required exactly four explicit colon-separated groups of 1-4 hex digits (e.g. 2001:0db8:85a3:0000). Any IPv6 address in compressed notation — including loopback (::1), link-local (fe80::1), and global unicast addresses (2001:db8::1) — did not match this pattern. As a result the remote-client check silently returned "no remote clients" even when a remote tmux client was connected from such an address. This issue has been patched in version 0.9.3.

توجد حالة تنافس على الارتباط الرمزي (symlink) عند إنشاء دلائل «pad» لكل جهاز ولكل مستخدم. يستخدم البرنامج نمط «التحقق أولاً ثم التنفيذ»، حيث يستدعي دالة `lstat()` للتحقق من وجود الدليل، ثم يستدعي دالة `mkdir()` لإنشائه. يمكن لمهاجم محلي استغلال التوقيت بين هذين الاستدعاءين عن طريق استبدال المسار المستهدف برابط رمزي إلى دليل يخضع لسيطرته. وقد يؤدي ذلك إلى كتابة ملفات التشفير أحادية الاستخدام (one-time pad) في موقع يخضع لسيطرة المهاجم، مما قد يؤدي إلى كشف قيم التشفير المستقبلية أو تعطيل عملية المصادقة.

تقوم وظيفة المساعدة في تحرير الذاكرة `xfree()` باستدعاء الدالة `free()` دون مسح محتويات المخزن المؤقت (buffer) إلى الصفر أولاً. ويؤدي ذلك إلى تحرير المخازن المؤقتة المخصصة في الـ«هياب» (heap) والتي تحتوي على بيانات حساسة — مثل بايتات «one-time pad» المقروءة من القرص — دون مسحها. ونتيجة لذلك، يبقى المحتوى الحساس في ذاكرة الكومة التي تم تحريرها حتى يتم الكتابة فوقه بواسطة تخصيص لاحق. وفي الحالات التي تتوفر فيها أداة فحص الكومة أو توجد حالة «الاستخدام بعد التحرير»، قد يسمح ذلك باستعادة مواد المصادقة أو قيم الشفرة من مناطق الذاكرة التي تم تحريرها.

توجد مشكلة في الدالة `pusb is loginctl local()` حيث يمكن أن يحدث تعطل بسبب إزالة مرجع NULL عند تحليل مخرجات loginctl. تستخدم الدالة `popen()` لقراءة النتائج؛ إذا كان الحقل Remote يحتوي على حرف خط جديد فقط، فإن `fgets()` تنجح ولكن `strtok r(buf, ” “, &saveptr)` تُرجع NULL. ثم تقوم الدالة `strcmp(is remote, ”no“)` اللاحقة بإلغاء مرجعية قيمة NULL هذه، مما يؤدي إلى سلوك غير محدد، وعادةً ما يكون SIGSEGV (خطأ في التجزئة)، مما يتسبب في تعطل وحدة PAM. وقد يؤدي ذلك إلى تعطل عمليات المصادقة مثل `sudo` أو `login`، وقد يمنع الوصول لجميع مستخدمي الخدمة المتأثرة اعتمادًا على تكوين مكدس PAM.

تحدث حلقة لا نهائية من هجوم «رفض الخدمة» (DoS) أثناء مسح شجرة العمليات عندما تنتهي عملية أم أثناء عملية المصادقة. تفشل الدالة `usb get process parent id()` في تهيئة المتغير `*ppid` عند حدوث الفشل. في الدالة `pusb local login()`، يتم إعادة استخدام هذا المتغير كمدخل ومخرج داخل حلقة while؛ وإذا تعذر على النظام قراءة `/proc/<pid>/stat`، فلا يتم تحديث معرّف العملية (PID)، مما يمنع الحلقة من الانتهاء. وينتج عن ذلك توقف عملية المصادقة، مثل sudo أو sshd أو login، حتى يتم إنهاؤها قسريًّا.

يوفر هذا البرنامج المصادقة عبر الأجهزة لنظام لينكس باستخدام الوسائط القابلة للإزالة. توجد ثغرة أمنية حيث تسمح الدالة `getenv()` بحقن متغيرات بيئية في منطق الفحص المحلي عبر المتغيرات `XRDP SESSION` و`DISPLAY` و`TMUX`. تحدد هذه المتغيرات ما إذا كانت الجلسة محلية أم عن بُعد. وعندما تعمل وحدة PAM ضمن سياق ملفات ثنائية setuid مثل `sudo` أو `su`، يمكن أن تُرجع الدالة `getenv()` قيمًا يتحكم فيها مستخدم محلي قام بالتلاعب ببيئة العملية.

يوفر pam usb المصادقة عبر الأجهزة لنظام Linux باستخدام الوسائط القابلة للإزالة. يستدعي البرنامج الدالة `xmlReadFile()` مع `flags=0` عند تحميل ملف التكوين، مما يسمح لـ libxml2 بمعالجة مراجع الكيانات الخارجية. وقد يؤدي ذلك إلى معالجة الكيانات الخارجية لـ XML (XXE)، حيث قد يقوم النظام بقراءة الملفات المحلية أو إجراء اتصالات شبكية صادرة أثناء تحليل XML من سياق عملية المصادقة. يتطلب الاستغلال أن يحتوي ملف التكوين على مراجع كيانات XML مصممة خصيصًا. ونظرًا لأن ملف التكوين مملوك لمستخدم root، فإن الوصول للكتابة إلى الملف ضروري للاستغلال؛ ومع ذلك، فإن التأثير كبير لأن الوحدة النمطية `pam usb.so` تعمل في سياقات setuid مثل `sudo` و`su`.

يوفر هذا البرنامج المصادقة عبر الأجهزة لنظام لينكس باستخدام الوسائط القابلة للإزالة. توجد حالة تنافس عند تحديث ملف «one-time pad» (مفتاح التشفير لمرة واحدة)؛ وذلك لأن ملفًا مؤقتًا يتم إنشاؤه باستخدام الدالة `open()` دون علامة `O EXCL`. يؤدي هذا النقص في الترابطية إلى السماح لعمليةين متزامنتين بفتح نفس الملف، مما يؤدي إلى أن عملية الكتابة الثانية تحل محل الأولى بصمت. ونظرًا لأن «one-time pad» هو الآلية الأساسية لمنع إعادة الاستخدام، فإن هذا الاختلاف قد يتسبب في فشل المصادقة أو يتيح فرصة لإعادة استخدام «one-time pad».

في ملف `src/log.c`، يتم كتابة مؤشر ثابت على مستوى العملية بعنوان متغير محلي في المكدس (stack) خلال كل استدعاء لـ PAM. ينتهك هذا السلوك متطلبات قابلية PAM لإعادة الدخول — وهي قدرة الدالة على أن تُقاطع وتُستدعى مرة أخرى بأمان قبل انتهاء استدعائها السابق — مما يؤدي إلى حدوث تضارب في الوصول إلى البيانات عند استدعاء مكدس PAM بشكل متزامن من خيوط متعددة.

يوفر pam usb المصادقة عبر الأجهزة لنظام لينكس باستخدام الوسائط القابلة للإزالة. يقوم مكون `pamusb-pinentry` بقراءة متغير البيئة `PINENTRY FALLBACK APP` وتنفيذه دون التحقق من صحته. يمكن لأي عملية قادرة على تعيين متغيرات البيئة قبل استدعاء `pamusb-pinentry` أن توجه `PINENTRY FALLBACK APP` إلى ملف ثنائي أو نص برمجي عشوائي، مما يؤدي إلى تنفيذه بامتيازات سلسلة أدوات pam usb.

في ملف `src/device.c`، يتم تمرير قيم الإرجاع للدوال `udisks drive get serial()` و`udisks drive get vendor()` و`udisks drive get model()` مباشرةً إلى الدالة `strcmp()` دون إجراء فحوصات NULL. وفقًا لوثائق واجهة برمجة التطبيقات (API) لـ GIO/UDisks، يمكن أن تُرجع هذه الدوال قيمة NULL للأجهزة التي لا تكشف عن الحقل المقابل. يؤدي تمرير مؤشر NULL إلى `strcmp()` إلى سلوك غير محدد، مما يؤدي عادةً إلى ظهور SIGSEGV (خطأ في التجزئة)، الذي يتسبب في تعطل PAM ورفض الخدمة عند تسجيل الدخول.

في ملف `src/evdev.c`، تتجاهل الدالة `pusb has virtual input device()` أخطاء EACCES بصمت عند فتح العقد `/dev/input/event*`. يؤدي هذا السلوك إلى إرجاع الدالة للقيمة 0، مما يشير إلى عدم العثور على أي أجهزة افتراضية، حتى لو فشلت جميع استدعاءات `open()` بسبب عدم كفاية الأذونات. ونتيجة لذلك، لا يستطيع المستدعي في `src/local.c` التمييز بين الغياب الفعلي للأجهزة الافتراضية وعملية المسح المحظورة بسبب رفض الأذونات، مما يؤدي إلى استمرار النظام في عملية المصادقة دون رفض الوصول. وهذا يؤدي فعليًّا إلى تعطيل اكتشاف سطح المكتب البعيد أثناء التنفيذ من حساب غير الجذر.

توجد ثغرة في نظام المصادقة عبر الأجهزة في نظام لينكس، حيث يمكن أن يحدث حقن أوامر شل. وقد يؤدي استخدام معرّف UUID مُعدّل في ملف التكوين إلى تنفيذ تعليمات برمجية عن بُعد بامتيازات الجذر عند تنفيذ الأمر `pamusb-conf --reset-pads`. يمكن حقن هذه الحمولة أثناء عملية `--add-device` عبر جهاز USB يحتوي على معرّف UUID مخصص لنظام الملفات. بالإضافة إلى ذلك، يتم تمرير المتغير `userName` من التكوين XML إلى الدالة `os.system()` في `pamusb-agent`، والتي تستدعي شل.

في ملف `src/tmux.c`، يقوم البرنامج بقراءة متغير البيئة `$TMUX`، وتقسيمه بفواصل، وإدراج مكون مسار المأخذ (socket-path) مباشرةً في أمر شل يتم تنفيذه عبر الدالة `popen()`. ونظرًا لأن القيمة تُوضع بين علامتي اقتباس مزدوجتين دون تنقية مناسبة، يمكن للمهاجم استخدام حرف الاقتباس المزدوج لإنهاء السلسلة وإدخال صيغة شل تعسفية. يتم تنفيذ هذه العملية بامتيازات الجذر داخل مكدس PAM، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

تقوم ميزة `deny remote` بتصنيف الاتصالات البعيدة التي تستخدم عناوين IPv6 المُخاطبة بـ IPv4 بشكل خاطئ على أنها جلسات محلية. يحدث هذا لأن النظام يتحقق من حقل `ut addr v6` في `utmpx` باستخدام شرط الحماية `if (utent->ut addr v6[0] != 0)`، والذي يتحقق فقط من صحة الكلمة الأولى المكونة من 32 بت في حقل العنوان المكون من 128 بت. تخزن عناوين IPv6 المخططة لـ IPv4 (::ffff:x.x.x.x) عنوان IPv4 في `ut addr v6[3]` بينما يظل `ut addr v6[0]` يساوي 0. في الأنظمة التي يستمع فيها برنامج SSH الخفي على حرف البدل IPv6 (::) مع AddressFamily أي، مثل التكوينات الشائعة في Ubuntu وDebian، يتم تسجيل اتصالات IPv4 الواردة كعناوين IPv6 المخططة لـ IPv4. ونتيجة لذلك، يتم تخطي كتلة الكشف عن البُعد، ويتم التعامل مع الجلسة على أنها محلية، مما يسمح بتجاوز الإعداد `deny remote=true`. يمكن للمهاجم الذي يتمتع بوصول مادي إلى جهاز USB مسجل أن يقوم بالمصادقة عبر SSH كما لو كان موجودًا على محطة طرفية محلية.

تحدث هذه المشكلة في ميزة `deny remote` الخاصة بوحدة PAM، والتي يتم تحميلها في عمليات المضيف مثل sudo وlogin وGDM وGNOME Shell. في البيئات متعددة الخيوط مثل GDM، تستخدم ثلاث وظائف الدالة `strtok()` غير القابلة لإعادة الدخول. ونظرًا لأن `strtok()` تخزن الحالة في مؤشر عالمي واحد، فقد تتنافس خيوط المصادقة المتزامنة، مما يسمح لأحد الخيوط بالكتابة فوق مؤشر الترميز الخاص بخيط آخر. ويؤدي هذا إلى تحليل غير صحيح لعمليات مسح بيئة `/proc` أو بيانات جلسة tmux المستخدمة للكشف عن الجلسات البعيدة. علاوة على ذلك، تقوم الدالة `pusb tmux get client tty()` بتمرير مؤشر خام من `getenv(TMUX)` مباشرةً إلى `strtok()`. ونظرًا لأن `strtok()` تُدرج بايتات NUL في كتلة بيئة العملية الحية، فإن متغير `TMUX` يتعرض للتلف بشكل دائم بالنسبة لجميع الأكواد اللاحقة في تلك العملية. ونتيجةً لذلك، عند تعيين `deny remote=true`، قد يتخذ النظام قرارات مصادقة غير صحيحة للجلسات البعيدة أو المحلية اعتمادًا على تداخل الخيوط.

في ملف `src/mem.c`، تم تنفيذ آليات الحماية من نفاد الذاكرة للوظائف `xmalloc()` و`xrealloc()` و`xstrdup()` باستخدام `assert(data != NULL)`. ونظرًا لأن تعبيرات `assert()` يتم استبعادها عند التحويل البرمجي عند تعريف `NDEBUG` أثناء مرحلة البناء — وهي ممارسة شائعة في عمليات البناء الخاصة بالإصدارات والتعبئة لنظامي Debian وFedora وArch — يتم إزالة آليات الحماية هذه في تلك الإصدارات. ونتيجة لذلك، تُرجع هذه الدوال القيمة NULL عند فشل التخصيص، ثم يتم إلغاء مرجعية هذه القيمة دون فحص، مما يؤدي إلى إلغاء مرجعية مؤشر NULL وتعطل وحدة PAM. ويؤدي هذا إلى حالة محلية لرفض الخدمة حيث يمكن للمهاجم الذي يتسبب في ضغط على الذاكرة أثناء المصادقة منع جميع المستخدمين من استخدام `sudo` و`login`.

تقوم الدالة `pusb pad compare()` الموجودة في ملف src/pad.c بالتحقق فقط من أن ملف pad الخاص بالمستخدم (~/.pamusb/device.pad) قابل للقراءة، دون التأكد من وجود ملف pad الخاص بالنظام على جهاز USB وقابليته للقراءة. إذا تم حذف ملف pad الخاص بالمستخدم أو أصبح غير قابل للقراءة، فإن الدالة تُرجع خطأً تعامله بعض مسارات الكود على أنه غير فادح، مما يسمح بنجاح عملية المصادقة دون التحقق من جهاز USB. ونتيجة لذلك، يمكن للمستخدم المحلي حذف ملف `~/.pamusb/device.pad` الخاص به لتجاوز متطلبات وجود جهاز USB فعلي.