pam_usb: Authentifizierungsumgehung über getenv() in der XRDP-Sitzungsprüfung

Zusammenfassung

pam_usb, ein PAM-Modul für hardwarebasierte Authentifizierung mit Wechselmedien unter Linux, liest die Umgebungsvariable XRDP_SESSION im lokalen Login-Pfad mit getenv() statt secure_getenv(). Wird das Modul in einen setuid-PAM-Host wie login, su oder sudo geladen, kann ein lokaler Benutzer diese Variable vor dem Start des Hosts löschen und so die explizite Verweigerungsregel für XRDP-Sitzungen umgehen. Andere Erkennungsmechanismen für Fernzugriffe greifen möglicherweise weiterhin, daher ist die Schwächung nur teilweise. Für die Ausnutzung ist ein lokales Benutzerkonto auf dem Host nötig.

Betroffen

• mcdope pam_usb, Versionen vor 0.9.3
• Hosts, auf denen pam_usb in PAM-Stacks verwendet wird und XRDP im Einsatz ist
• Hinweis: Der CVE-Eintrag und VulDB unterscheiden sich beim genauen Bereich (VulDB: bis 0.9.2) sowie beim CVSS-Wert und der CWE. Es wird der CNA-Eintrag verwendet (CVSS 7.1, CWE-807).

Behoben in

• Auf pam_usb 0.9.3 oder neuer aktualisieren

Umgehung

• Unbekannt.
• Falls ein sofortiges Update nicht möglich ist, prüfen, ob pam_usb auf Hosts mit aktiviertem XRDP benötigt wird, und es aus PAM-Stacks entfernen, wo es nicht erforderlich ist.

Ausnutzung

• Nicht als ausgenutzt bekannt.
• Zum Zeitpunkt der Recherche ist kein öffentlicher Exploit-Code bekannt.
• Laut Stand 11. November 2026 nicht im CISA-KEV-Katalog gelistet.

Unsere Empfehlung

• Hosts mit installiertem pam_usb und aktiviertem XRDP identifizieren.
• pam_usb auf Version 0.9.3 oder neuer aktualisieren.
• Bis zum Update lokale Benutzerkonten auf betroffenen Hosts einschränken und prüfen, ob pam_usb dort erforderlich ist.
• Authentifizierungsprotokolle auf ungewöhnliche sudo- oder Login-Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub advisory GHSA-ffx6-xjp6-x33g github.com
• Fix commit 0b179ed github.com
• Pull request #417 github.com
• Issue #410 github.com
• Release 0.9.3 github.com
• NVD / Vulners record CVE-2026-64666 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:01.