cryptctl: el hashing de contraseñas del lado del cliente es equivalente al almacenamiento de contraseñas en texto plano

Esta vulnerabilidad representa un riesgo significativo para la seguridad de los sistemas afectados. Un atacante que obtenga acceso a una contraseña hasheada, ya sea a través de un ataque de filtración de datos o acceso no autorizado, puede utilizarla para autenticarse en el sistema sin necesidad de romper la contraseña. Esto podría permitir al atacante acceder a datos confidenciales, modificar la configuración del sistema o incluso tomar el control total del sistema. La severidad CRÍTICA del CVSS indica que la explotación de esta vulnerabilidad puede tener consecuencias devastadoras para la confidencialidad, integridad y disponibilidad de los datos y sistemas afectados. La facilidad con la que se puede explotar esta vulnerabilidad, al no requerir el craqueo de contraseñas, la convierte en un objetivo atractivo para atacantes con diferentes niveles de habilidad.

Organizations running SUSE Linux Enterprise Server for SAP 12-SP5 and SUSE Manager Server 4.0 with versions of cryptctl prior to 2.4 are at risk. This includes environments that rely heavily on encryption for data protection and those with legacy systems that may be difficult to upgrade quickly. Shared hosting environments using these platforms are also particularly vulnerable.

• linux / server:

journalctl -u cryptctl | grep -i "authentication success"

• linux / server:

ps aux | grep cryptctl

• linux / server:

find / -name 'cryptctl' -type f

1. 2019-05-23Discovery

   discovery

2. 2021-06-30Disclosure

   disclosure

1. Reservado2019-11-12
2. Publicada2021-06-30
3. Modificada2024-09-16
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2019-18906 es actualizar a la versión 2.4 o superior de cryptctl. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales para reducir el riesgo. Esto podría incluir la restricción del acceso a los sistemas afectados, la implementación de políticas de contraseñas más robustas y el monitoreo continuo de los registros del sistema en busca de actividad sospechosa. En entornos donde la actualización es problemática, se puede considerar la implementación de reglas en un firewall de aplicaciones web (WAF) para bloquear intentos de autenticación que utilicen contraseñas hasheadas conocidas. La verificación de la corrección se realiza después de la actualización confirmando que el proceso de autenticación requiere el craqueo de la contraseña hasheada.