Title: Linux-PAM, Description: Linux-PAM hasta 1.7.2 contiene una discrepancia de tiempo observable (CWE-208) en la ruta de comparación de contraseñas en texto plano del módulo pam_userdb en modules/pam_userdb/pam_userdb.c que permite a un atacante local o adyacente a la red, capaz de impulsar repetidamente la autenticación a través de un servicio llamante, recuperar la contraseña en texto plano de una cuenta objetivo midiendo las diferencias de tiempo de respuesta. La comparación utiliza strncmp() (o strncasecmp() cuando PAM_ICASE_ARG está configurado) precedida por una verificación de igualdad de longitud, por lo que el tiempo para rechazar un candidato depende del índice del primer byte diferente y de si la longitud del candidato coincide con la contraseña almacenada, filtrando la longitud de la contraseña y los bytes de prefijo individuales. La ruta vulnerable se alcanza cuando el administrador configura pam_userdb con crypt=none, con un método crypt no reconocido, o sin un argumento crypt=, lo que hace que el módulo almacene y compare credenciales en texto plano.

Title: Linux-PAM, Description: Linux-PAM hasta 1.7.2 contiene una discrepancia de tiempo observable (CWE-208) en la ruta de comparación de contraseñas en texto plano del módulo pam_userdb en modules/pam_userdb/pam_userdb.c que permite a un atacante local o adyacente a la red, capaz de impulsar repetidamente la autenticación a través de un servicio llamante, recuperar la contraseña en texto plano de una cuenta objetivo midiendo las diferencias de tiempo de respuesta. La comparación utiliza strncmp() (o strncasecmp() cuando PAM_ICASE_ARG está configurado) precedida por una verificación de igualdad de longitud, por lo que el tiempo para rechazar un candidato depende del índice del primer byte diferente y de si la longitud del candidato coincide con la contraseña almacenada, filtrando la longitud de la contraseña y los bytes de prefijo individuales. La ruta vulnerable se alcanza cuando el administrador configura pam_userdb con crypt=none, con un método crypt no reconocido, o sin un argumento crypt=, lo que hace que el módulo almacene y compare credenciales en texto plano.

Title: Linux-PAM, Description: Linux-PAM hasta 1.7.2 contiene una discrepancia de tiempo observable (CWE-208) en la ruta de comparación de contraseñas en texto plano del módulo pam_userdb en modules/pam_userdb/pam_userdb.c que permite a un atacante local o adyacente a la red, capaz de impulsar repetidamente la autenticación a través de un servicio llamante, recuperar la contraseña en texto plano de una cuenta objetivo midiendo las diferencias de tiempo de respuesta. La comparación utiliza strncmp() (o strncasecmp() cuando PAM_ICASE_ARG está configurado) precedida por una verificación de igualdad de longitud, por lo que el tiempo para rechazar un candidato depende del índice del primer byte diferente y de si la longitud del candidato coincide con la contraseña almacenada, filtrando la longitud de la contraseña y los bytes de prefijo individuales. La ruta vulnerable se alcanza cuando el administrador configura pam_userdb con crypt=none, con un método crypt no reconocido, o sin un argumento crypt=, lo que hace que el módulo almacene y compare credenciales en texto plano.

{"timestamp":"2026-06-15T16:59:25.401303Z","id":"CVE-2026-54411","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"Linux-PAM","product":"Linux-PAM","defaultStatus":"unknown","collectionURL":"https://github.com/linux-pam/linux-pam","modules":["pam_userdb"],"programFiles":["modules/pam_userdb/pam_userdb.c"],"repo":"https://github.com/linux-pam/linux-pam","versions":[{"version":"0","lessThanOrEqual":"1.7.2","versionType":"semver","status":"affected"}]}]

Linux-PAM through 1.7.2 contains an observable timing discrepancy (CWE-208) in the pam_userdb module's plaintext-password comparison path in modules/pam_userdb/pam_userdb.c that allows a local or network-adjacent attacker able to repeatedly drive authentication through a calling service to recover the plaintext password of a target account by measuring response-timing differences. The comparison uses strncmp() (or strncasecmp() when PAM_ICASE_ARG is set) preceded by a length-equality check, so the time to reject a candidate depends on the index of the first differing byte and on whether the candidate's length matches the stored password, leaking the password length and individual prefix bytes. The vulnerable path is reached when the administrator configures pam_userdb with crypt=none, with an unrecognized crypt method, or without a crypt= argument, causing the module to store and compare credentials in plaintext.

AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:N/R:X/V:D/RE:X/U:X

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

CWE-208

https://cwe.mitre.org/data/definitions/208.html

https://github.com/linux-pam/linux-pam

https://github.com/linux-pam/linux-pam/blob/master/libpam/include/pam_inline.h

https://github.com/linux-pam/linux-pam/blob/master/modules/pam_userdb/pam_userdb.c#L327