PT-2025-18214 · Finit+1 · Finit+1

Troglobit · Publicado 2025-03-18 · Atualizado 2025-06-23 · CVE-2025-29906

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Finit de 3.0-rc1 a 4.11

Descrição O Finit é um init rápido para sistemas Linux. A questão refere-se à implementação do getty para a diretiva de configuração tty, que pode contornar o /bin/login, permitindo que um usuário faça login como qualquer usuário sem autenticação. Isso pode ser explorado manipulando o prompt de login e requer acesso ao console. O problema foi corrigido na versão 4.11.

Recomendações Para resolver o problema, atualize para a versão 4.11 ou posterior, pois esta versão inclui o patch para o problema de bypass de autenticação. Como solução alternativa temporária, considere restringir o acesso ao console para minimizar o risco de exploração.

Exploit

Correção

LPE

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

BDU:2025-05115

CVE-2025-29906

GHSA-563G-P98J-MC9Q

Produtos afetados

Debian

Finit

Referências · 25

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/29xxx/CVE-2025-29906.json · Exploit
• https://github.com/troglobit/finit/security/advisories/GHSA-563g-p98j-mc9q · Nota
• https://github.com/troglobit/finit/commit/6528628b5c771c25ffa0cb1a46c6c89d9d0d69e0 · Nota
• https://github.com/troglobit/finit · Nota
• https://ubuntu.com/security/CVE-2025-29906 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-29906 · Nota de Segurança
• https://t.me/latest_high_impact_cve/2224 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2025-29906 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-29906 · Aviso do Fabricante
• https://t.me/tmfeed/244330 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-29906 · Nota de Segurança
• https://twitter.com/cybercronai/status/1917625710727807432 · Publicação no Twitter
• https://twitter.com/_F2po_/status/1917835306914422864 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1917766758246604818 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-29906 · Aviso do Fabricante