Autorización incorrecta en Garuda Linux
Garuda Linux.
INCIBE ha coordinado la publicación de una vulnerabilidad en Garuda Linux, con el código interno INCIBE-2021-0444, que ha sido descubierta por Jesús Olmos en fox-it/nccgroup.
A esta vulnerabilidad se le ha asignado el código CVE-2021-3784. Se ha calculado una puntuación base CVSS v3.1 de 5,3; siendo el cálculo del CVSS el siguiente: AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L.
El problema se ha solucionado en la última versión de Garuda.
Garuda Linux realiza una creación y autenticación de usuarios insegura que permite a cualquier usuario suplantar la cuenta creada.
Al crear usuarios desde la opción 'Garuda settings manager', se realiza un procedimiento inseguro que mantiene al usuario creado sin contraseña asignada durante algunos segundos. Esto podría permitir a un potencial atacante explotar esta vulnerabilidad para autenticarse sin conocer la contraseña.
Esta vulnerabilidad ya está corregida en la última versión de Garuda Linux.
CWE-287: Autenticación Inadecuada.
Línea temporal:
09/08/2021 - Los investigadores contactan con INCIBE.
13/09/2021 - Garuda Linux soluciona la vulnerabilidad.
28/10/2021 - INCIBE publica el aviso.
Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en la sección de asignación y publicación de CVE.
