PT-2026-3885
CVE-2026-23893
·
تاريخ النشر
2026-01-22
·
تاريخ التحديث
2026-08-31
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:L
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
openCryptoki الإصدارات 2.3.2 وما فوق
الوصف
openCryptoki هي مكتبة PKCS#11 تُستخدم في أنظمة Linux وAIX. الإصدارات 2.3.2 وما فوق معرضة لثغرة تتمثل في تتبع الروابط الرمزية (symlinks) عند العمل في سياقات ذات امتيازات. يمكن للمستخدم المنتمي إلى مجموعة token إعادة توجيه عمليات الملفات إلى مواقع عشوائية في نظام الملفات عن طريق إنشاء روابط رمزية داخل مجلدات token التي تتمتع بحق الكتابة للمجموعة، مما قد يؤدي إلى رفع الامتيازات أو كشف البيانات. يتم تكوين مجلدي token و lock بأذونات 0770، مما يسمح لأي عضو في مجموعة token بوضع ملفات وروابط رمزية داخلهما. عند التنفيذ بامتيازات الجذر، يمكن للكود الأساسي المسؤول عن الوصول إلى ملفات مجلدي token، جنبًا إلى جنب مع العديد من أدوات openCryptoki المستخدمة في المهام الإدارية، تعديل ملكية أو أذونات الملفات الموجودة داخل مجلدي token هذين. يمكن للمهاجم الذي ينتمي إلى مجموعة token استغلال هذه الثغرة الأمنية عندما يقوم أحد المسؤولين بتشغيل تطبيق PKCS#11 أو أداة إدارية تُجري عمليات
chown على الملفات الموجودة داخل دليل token أثناء الصيانة الروتينية.التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾