pam_usb: Umgehung von deny_remote über komprimierte IPv6-Adressen
Zusammenfassung
pam_usb ist ein PAM-Modul, das Linux-Benutzer mit Wechselmedien authentifiziert. In betroffenen Versionen erkennt die deny_remote-Prüfung IPv6-Adressen in komprimierter Schreibweise (zum Beispiel ::1, fe80::1 oder 2001:db8::1) bei aktiven Remote-tmux-Sitzungen nicht. Ein Remote-tmux-Client, der von einer solchen Adresse verbunden ist, wird daher nicht erkannt, und pam_usb verweigert die Authentifizierung nicht wie konfiguriert. Ein Angreifer benötigt eine Remote-tmux-Sitzung des betroffenen Benutzers und die Möglichkeit, sich mit dem USB-Medium zu authentifizieren.
Betroffen
- mcdope pam_usb ab 0.8.0 bis vor 0.9.3
- Hinweis: VulDB führt 0.9.0 bis 0.9.2 als betroffen; 0.8.x sollte bis zur Bestätigung durch den Hersteller als betroffen gelten.
Behoben in
- Behoben in pam_usb 0.9.3
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Öffentlich bekannt gemacht.
Unsere Empfehlung
- pam_usb auf allen Linux-Systemen, auf denen es eingesetzt wird, auf Version 0.9.3 oder neuer aktualisieren.
- Bis zur Behebung prüfen, ob pam_usb für netzwerkerreichbare PAM-Dienste wie sshd aktiviert ist und ob tmux für Remote-Administration genutzt wird.
- pam_usb für Dienste deaktivieren, für die es nicht benötigt wird.
- Nach dem Patchen die installierte Version über den Paketmanager überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-gc4c-v52c-2v34 github.com
- Fix commit a62513f3da871d6576d751de3482eb80b9ac79f3 github.com
- Pull Request #423 github.com
- pam_usb release 0.9.3 github.com
- CVE Record CVE-2026-64669 www.cve.org
- VulDB 435603 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.