BlockBeats সংবাদ, ৬ নভেম্বর, অ্যালপাইন লিনাক্সের অফিসিয়াল সিকিউরিটি নোটিফিকেশন অনুযায়ী, পি.এ.এম. সক্রিয় না করে তৈরি করা openssh-server প্যাকেজে পাসওয়ার্ড অথেনটিকেশন বাইপাস ভুল রয়েছে: আক্রমণকারীদের শুধুমাত্র SSH পোর্টে কানেক্ট হওয়ার প্রয়োজন হয়, এবং নির্দিষ্ট শর্তগুলির ক্ষেত্রে একবার কানেক্ট করেই সঠিক পাসওয়ার্ড ছাড়াই লগইন করতে পারে। এই শর্তগুলি হল: PasswordAuthentication সক্রিয়, * পাসওয়ার্ড ফিল্ডযুক্ত অ্যাকাউন্ট বিদ্যমান, এবং লোকাল হোস্টে $5$ বা $6$ হ্যাশযুক্ত ítটি অন্তত একটি অ্যাকাউন্ট থাকা; আক্রমণকারীদের পাসওয়ার্ডহীন অ্যাকাউন্টের জন্য অত্যধিক দীর্ঘ পাসওয়ার্ড প্রদান করলেই মিলিয়ে যায়। প্রভাবিত সংস্করণগুলির মধ্যে অফিসিয়ালভাবে পরীক্ষিত Alpine 3.21–3.24 এবং edge, এবং বন্ধকৃত 3.16–3.20 অন্তর্ভুক্ত; openssh-server-pam ব্যবহারকারীদের, UsePAM yes, বা পাসওয়ার্ড লগইন বন্ধকৃত সিস্টেমগুলি প্রভাবিত হয়নি।
প্রকাশের সময় CVE আবণ্টিত হয়নি। অফিসিয়াল বলেছে যে মূল কারণটি হল PAM ছাড়া অন্য অ্যাকাউন্টের সল্ট ব্যবহার এবং musl-এর crypt() ফাংশনের অত্যধিক দীর্ঘ পাসওয়ার্ডের জন্য * ফেরত দেওয়া; OpenSSH 10.6p2 এবং স্থিতিশীল শাখার প্যাচগুলি এই সমস্যা সমাধান করেছে। অবিলম্বে apk upgrade করুন এবং sshd পুনরায় শুরু করুন, কেবলমাত্র প্যাকেজ আপগ্রেড করলে চলমান ডেমনটি প্রতিস্থাপিত হবে না; আপগ্রেড করা সম্ভব না হলে পাসওয়ার্ড অথেনটিকেশন বন্ধ করুন। অফিসিয়াল tiny-cloud ইমেজে alpine ব্যবহারকারীর * পাসওয়ার্ড রয়েছে এবং এটি বিনা পাসওয়ার্ডে doas করতে পারে, যদি আপনার সিস্টেমে $6$ হ্যাশ দেখা যায়, তবে এটি root-এর জন্য ব্যবহারযোগ্য।