Mensaje de BlockBeats, 6 de noviembre: según el aviso de seguridad oficial de Alpine Linux, el paquete openssh-server presenta una vulnerabilidad de evasión de autenticación por contraseña en construcciones sin PAM activado: un atacante que pueda conectarse al puerto SSH puede, bajo condiciones específicas, loguearse con una sola conexión sin necesidad de ingresar la contraseña correcta. Las condiciones incluyen: PasswordAuthentication habilitado, la existencia de una cuenta con campo de contraseña igual a *, y al menos otra cuenta local con un hash $5$ o $6$; el atacante puede lograr el acceso exitoso enviando una contraseña extremadamente larga a la cuenta sin contraseña. El rango afectado incluye Alpine 3.21–3.24 y edge verificados oficialmente, así como las versiones ya obsoletas 3.16–3.20; los sistemas que usan openssh-server-pam con UsePAM yes o que tienen deshabilitado el inicio de sesión por contraseña no se ven afectados.
No se ha asignado ningún CVE al momento de la publicación. La empresa oficial indica que la causa raíz está relacionada con el uso de valores de sal de otras cuentas sin PAM, y con que la función crypt() de musl devuelve * para contraseñas excesivamente largas; ya se han corregido en OpenSSH 10.6p2 y en los paquetes de parches para las ramas estables. Se recomienda realizar inmediatamente un apk upgrade y reiniciar sshd, ya que solo actualizar los paquetes no reemplazará el demonio en ejecución; si no es posible actualizar de inmediato, se debe desactivar la autenticación por contraseña. En las imágenes oficialmente proporcionadas por tiny-cloud, el usuario alpine tiene una contraseña * y puede ejecutar doas sin contraseña; la aparición de un hash $6$ en el sistema local podría ser explotada para obtener acceso root.