یک نقص امنیتی با شناسه CVE-2026-109970 در مکانیزم PKCS#11 pin در ابزار Clevis کشف شده است که می‌تواند منجر به افشای اطلاعات حساس شود.
جزئیات فنی آسیب‌پذیری
بررسی‌ها نشان می‌دهد که اسکریپت clevis-luks-pkcs11-askpin رمز عبور (PIN) توکن PKCS#11 را به صورت متن ساده (Plaintext) در یک فایل ذخیره می‌کند، بدون اینکه دسترسی‌های محدودکننده‌ای برای این فایل تعریف کند. در شرایط پیش‌فرض و با توجه به umask سیستم، این فایل برای تمامی کاربران (World-readable) قابل خواندن است.
ریسک‌های موجود
- عدم پاک‌سازی داده‌ها: در صورتی که اسکریپت رمزگشایی (Decryption) پیش از اتمام عملیات متوقف شود، فایل حاوی رمز PIN به طور قابل‌اطمینانی پاک نمی‌شود و این رمز برای مدت نامحدودی در سیستم باقی می‌ماند.
- دسترسی غیرمجاز: هر کاربری که به سیستم دسترسی داشته باشد، می‌تواند با خواندن این فایل، رمز PIN توکن را به دست آورد.
