FICHE CVE

CVE-2026-109971

Publiée le 2026-10-14 · Dernière modification le 2026-10-30

🇫🇷 EN BREF

Les systèmes utilisant le code PIN PKCS#11 de Clevis pour le déchiffrement sont affectés car le script expose le code PIN du jeton dans la liste des processus du système. Un utilisateur local disposant d'un accès de bas niveau peut lire ce code PIN via le système de fichiers `/proc` pour obtenir un accès non autorisé aux données protégées. Cela nécessite que l'attaquant possède déjà un compte local sur la machine et que le processus de déchiffrement soit en cours d'exécution au moment précis où il consulte la liste des processus.

CVSS 3.14.7 MOYENNE

Type de faiblesse

CWE-214

Publiée2026-10-14

Dernière modification2026-10-30

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

A flaw was found in the clevis PKCS#11 pin. The clevis-decrypt-pkcs11 script passes the PKCS#11 token PIN as a command-line argument to pkcs11-tool, making it visible to any local user through process listing or the /proc filesystem.