Milan Brož, správce cryptsetup, objevil zranitelnost CVE-2021–4122 v LUKS 2.2.0 a novějších. Jde o zneužití reencryption, tedy přešifrování za běhu. Útočník s přístupem k disku a bez znalosti hesla může pozměnit metadata LUKS2, aby to vypadalo, že reencryption bylo v průběhu přerušeno. Zařízení se bude tvářit normálně a po zadání platného hesla skutečným uživatelem se zařízení bez varování rozšifruje. Změna bude vidět pouze v luksDump.
Útočník pak může také proces také obrátit a znovu disk nechat zašifrovat. Útok nefunguje na LUKS1, ale útočník může změnit metadata na LUKS2. Opravené verze jsou cryptsetup 2.4.3 a 2.3.7, které navíc chrání reencryption metadata podpisem, který bez znalosti hesla nemůžete zfalšovat. Druhou možností je zcela zakázat reencryption pomocí nové volby --disable-luks2-reencryption.
(zdroj: sophos)
ČLÁNKY DO MAILU