Alpine Linux ay nagbabala sa isang vulnerability sa pagbypass ng password sa OpenSSH

KuCoinFlash

Oras ng Release: 2026/11/06 08:24:32

I-share

Summary

Ipinahayag ng Alpine Linux ang isang alerta tungkol sa vulnerability noong Nobyembre 6, 2026, tungkol sa isang kakulangan sa OpenSSH na nagpapahintulot sa pagbypass ng password. Ang problema ay nagpapahintulot sa mga attacker na makalapag nang walang wastong password kung ang ilang kondisyon sa account ay natutugunan. Ang kakulangan ay nakakaapekto sa mga bersyon 3.21–3.24, edge, at 3.16–3.20. Ang OpenSSH 10.6p2 at ang mga patch update ay nagsolba sa problema. Inirerekomenda sa mga user na i-upgrade at i-restart ang sshd o i-disables ang password authentication kung ang pag-upgrade ay hindi posible. Ang insidente ay nagpapakita ng pangangailangan para sa patuloy na pagmamasid sa security breach at mabilis na pag-patch.

BlockBeats na mensahe, Nobyembre 6, ayon sa opisyal na pahayag ng seguridad ng Alpine Linux, mayroong pagbypass ng autentikasyon ng password sa openssh-server package sa mga build na hindi pinagana ang PAM: ang isang attacker na makakakonekta sa SSH port ay maaaring makalogin sa isang pagkakonekta lamang, nang walang kailangang magbigay ng tamang password, sa ilalim ng mga partikular na kondisyon. Ang mga kondisyon ay kasama ang pagpapagana ng PasswordAuthentication, ang pagkakaroon ng isang account na may password field na *, at ang pagkakaroon ng kahit isang lokal na account na may $5$ o $6$ hash; ang isang attacker ay maaaring makamit ang pagkakatugma sa pamamagitan ng pagpapadala ng sobrang habang password sa isang account na walang password. Ang epekto ay nakasaklaw sa opisyal na napatunayan na Alpine 3.21–3.24 at edge, pati na rin ang hindi na sinusuportahan na 3.16–3.20; ang mga sistema na gumagamit ng openssh-server-pam na may UsePAM yes, o ang mga system na naka-disable ang password login, ay hindi nakakaapekto.

Hindi pa nakakatanggap ng CVE hanggang sa pagpapahayag. Ayon sa opisyal, ang pangunahing sanhi ay ang paggamit ng salt mula sa ibang account nang walang PAM, at ang crypt() ng musl na bumabalik sa * para sa sobrang haba ng password; narepair na ang OpenSSH 10.6p2 at ang mga patch sa lahat ng stable branches. Inirerekomenda ang agad na apk upgrade at pag-restart ng sshd, dahil ang pag-upgrade lamang ng package ay hindi magpapalit sa nagpapatakbo na daemon; kung hindi pa maaaring i-upgrade, dapat isara ang password authentication. Ang alpine user sa opisyal na tiny-cloud image ay may * password at maaaring mag-doas nang walang password; kapag lumabas ang $6$ hash sa lokal, maaaring gamitin ito upang makamit ang root.

Source:Ipakita ang original

Disclaimer: Ang information sa page na ito ay maaaring nakuha mula sa mga third party at hindi necessary na nagre-reflect sa mga pananaw o opinyon ng KuCoin. Ibinigay ang content na ito para sa mga pangkalahatang informational purpose lang, nang walang anumang representation o warranty ng anumang uri, at hindi rin ito dapat ipakahulugan bilang financial o investment advice. Hindi mananagot ang KuCoin para sa anumang error o omission, o para sa anumang outcome na magreresulta mula sa paggamit ng information na ito. Maaaring maging risky ang mga investment sa mga digital asset. Pakisuri nang maigi ang mga risk ng isang produkto at ang risk tolerance mo batay sa iyong sariling kalagayang pinansyal. Para sa higit pang information, mag-refer sa aming Terms ng Paggamit at Disclosure ng Risk.