🇰🇷 한글 설명
clevis PKCS#11 핀에서 권한 제한이나 피어 자격 증명 검증 없이 AF_UNIX 소켓을 생성하는 결함이 발견되었습니다. 허용적인 umask 설정이 되어 있을 경우, 로컬 사용자가 제어 소켓에 연결하여 임의의 장치/키 쌍을 주입하거나 데이터 소켓에 연결하여 LUKS 암호문을 탈취할 수 있습니다.
💡 쉬운 설명
컴퓨터 내부의 보안 통로를 만들 때 문을 잠그지 않아 발생하는 문제입니다. 이로 인해 같은 컴퓨터를 쓰는 다른 사람이 암호화된 데이터를 풀 수 있는 비밀번호를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the clevis PKCS#11 pin. The clevis-pkcs11-afunix-socket-unlock daemon creates AF_UNIX sockets without explicit permission restrictions or peer credential verification. Under a permissive process umask, any local user can connect to the control socket and inject arbitrary device/key pairs, or connect to the data socket to receive LUKS passphrases.
📍 영향받는 시스템
clevis-pkcs11-afunix-socket-unlock 데몬을 사용하는 시스템
⚔️ 공격 벡터
로컬 사용자가 권한 제한이 없는 AF_UNIX 소켓에 접근하여 데이터 주입 또는 암호 탈취
🛡️ 대응 방법
clevis 패키지를 최신 보안 패치가 적용된 버전으로 업데이트하고 소켓 권한 설정을 강화하십시오.
🔧 검증 코드
설치된 clevis 관련 패키지 목록을 확인하여 현재 사용 중인 버전을 파악합니다.
rpm -qa | grep clevis || dpkg -l | grep clevis