CVE-2025-53013 in himmelblau
Riassunto
di VulDB • 08/09/2026
Himmelblau è una suite di interoperabilità per Microsoft Azure Entra ID e Intune. Una vulnerabilità presente nelle versioni 0.9.10 attraverso la 0.9.16 consente a un utente di autenticarsi su un host Linux tramite Himmelblau utilizzando un PIN Hello Linux *non valido*, purché l'host sia offline. Sebbene l'utente ottenga l'accesso al sistema locale, il Single Sign-On (SSO) fallisce a causa della mancanza di connettività di rete e dell'impossibilità di emettere token (a causa del mancato sblocco della chiave Hello). Il problema principale risiede in un presupposto errato all'interno della funzione `acquire_token_by_hello_for_business_key`: ci si aspettava che questa restituisse un errore `TPMFail` per una chiave Hello non valida quando offline, ma invece, una richiesta di nonce precedente ha generato un errore `RequestFailed`, portando il sistema a transizionare erroneamente in uno stato di successo offline senza convalidare lo sblocco della chiave Hello. Ciò impatta i sistemi che utilizzano Himmelblau per l'autenticazione operando in modalità offline con l'autenticazione tramite PIN Hello abilitata. Rocky Linux 8 (e varianti) non sono interessati da questa vulnerabilità. Il problema è risolto nella versione di Himmelblau 0.9.17. È disponibile una soluzione alternativa per gli utenti che non possono effettuare immediatamente un upgrade. Disabilitare l'autenticazione tramite PIN Hello impostando `enable_hello = false` in `/etc/himmelblau/himmelblau.conf` mitigerà la vulnerabilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.