رسالة BlockBeats، 6 نوفمبر: وفقًا لإشعار أمان رسمي من Alpine Linux، يوجد ثغرة في حزمة openssh-server عند البناء دون تمكين PAM تسمح بتجاوز المصادقة بالكلمة السرية: يمكن للمهاجم، بمجرد الاتصال بمنفذ SSH، تسجيل الدخول بنجاح في اتصال واحد دون الحاجة إلى كلمة سر صحيحة، شريطة توفر الشروط التالية: تمكين PasswordAuthentication، وجود حساب بحقل كلمة سر يساوي *، ووجود حساب محلي واحد على الأقل يحتوي على تجزئة $5$ أو $6$؛ يمكن للمهاجم تحقيق التوافق الناجح عن طريق إرسال كلمة سر طويلة جدًا لحساب بدون كلمة سر. تتأثر الإصدارات الرسمية المفحوصة من Alpine 3.21–3.24 وedge، بالإضافة إلى الإصدارات المتوقفة 3.16–3.20؛ أما الأنظمة التي تستخدم openssh-server-pam مع UsePAM yes، أو التي أوقفت تسجيل الدخول بالكلمة السرية، فهي غير متأثرة.
لم يتم تخصيص CVE حتى تاريخ نشر هذا التقرير. وفقًا للجهة الرسمية، فإن السبب الجذري مرتبط باستخدام قيمة ملح حساب آخر عند عدم وجود PAM، بالإضافة إلى أن دالة crypt() في musl تُرجع * عند إدخال كلمات مرور طويلة جدًا؛ وقد تم إصلاح هذا في OpenSSH 10.6p2 وحزم التصحيحات لجميع الفروع المستقرة. يُوصى بتنفيذ apk upgrade وإعادة تشغيل sshd فورًا، حيث أن التحديث فقط لا يحل محل الخدمة قيد التشغيل؛ وفي حال عدم القدرة على التحديث، يجب تعطيل المصادقة بالكلمة المرور. يحتوي صورة tiny-cloud الرسمية على مستخدم alpine بكلمة مرور * ويمكنه تنفيذ doas دون كلمة مرور، وعند ظهور أي تجزئة $6$ على الجهاز المحلي، قد يتم استغلال ذلك للوصول إلى root.