Message de BlockBeats, 6 novembre : selon l'avis de sécurité officiel d'Alpine Linux, le paquet openssh-server, lorsqu'il est compilé sans PAM activé, présente une contournement d'authentification par mot de passe : un attaquant pouvant se connecter au port SSH peut, dans des conditions spécifiques, réussir une connexion unique sans fournir de mot de passe valide. Ces conditions incluent l'activation de PasswordAuthentication, la présence d'un compte dont le champ mot de passe est *, ainsi que la présence d'au moins un autre compte local ayant un hachage $5$ ou $6$ ; l'attaquant peut réussir à se connecter en soumettant un mot de passe extrêmement long à un compte sans mot de passe. La vulnérabilité affecte Alpine 3.21 à 3.24 et edge vérifiés officiellement, ainsi que les versions obsolètes 3.16 à 3.20 ; les systèmes utilisant openssh-server-pam avec UsePAM yes, ou ayant désactivé la connexion par mot de passe, ne sont pas concernés.
Aucun CVE n'a été attribué à la date de publication. L'entreprise officielle indique que la cause racine est liée à l'emprunt de la valeur de sel d'un autre compte en l'absence de PAM, ainsi qu'à la fonction crypt() de musl qui renvoie * pour les mots de passe excessivement longs ; des correctifs sont disponibles pour OpenSSH 10.6p2 et les branches stables. Il est recommandé de procéder immédiatement à un apk upgrade et de redémarrer sshd, car la mise à jour des paquets seule ne remplace pas le démon en cours d'exécution ; en l'absence de possibilité de mise à jour, il convient de désactiver l'authentification par mot de passe. L'utilisateur alpine dans les images officielles tiny-cloud possède un mot de passe * et peut effectuer un doas sans mot de passe ; la présence d'un hachage $6$ sur le système local pourrait permettre une exploitation jusqu'à root.