CVE-2020-27780
Publiée le 2020-12-18 · Dernière modification le 2026-06-17
Les systèmes Linux utilisant des versions de PAM antérieures à la 1.5.1 sont vulnérables à une faille où la saisie d'un mot de passe vide pour un utilisateur inexistant peut permettre une connexion réussie en tant qu'administrateur (root). Un attaquant peut exploiter cette faille via le réseau pour obtenir le contrôle administratif complet du serveur, sans avoir besoin d'identifiants valides ni d'interaction de l'utilisateur. Comme elle ne nécessite aucune authentification et est facile à exécuter, cette faille représente un risque de sécurité critique.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in Linux-Pam in versions prior to 1.5.1 in the way it handle empty passwords for non-existing users. When the user doesn't exist PAM try to authenticate with root and in the case of an empty password it successfully authenticate.