Pesan BlockBeats, 6 November, menurut pemberitahuan keamanan resmi Alpine Linux, paket openssh-server dalam build tanpa PAM yang diaktifkan memiliki kerentanan bypass otentikasi kata sandi: penyerang hanya perlu terhubung ke port SSH, dan dalam kondisi tertentu, dapat melakukan login sekali saja tanpa memasukkan kata sandi yang benar. Kondisi tersebut meliputi: PasswordAuthentication diaktifkan, ada akun dengan bidang kata sandi berupa *, serta setidaknya ada satu akun lokal lain dengan hash $5$ atau $6$; penyerang dapat berhasil memicu kecocokan dengan mengirimkan kata sandi yang sangat panjang ke akun tanpa kata sandi. Rentang yang terdampak mencakup Alpine 3.21–3.24 dan edge yang telah diverifikasi resmi, serta versi yang sudah tidak didukung 3.16–3.20; sistem yang menggunakan openssh-server-pam dengan UsePAM yes, atau yang telah menonaktifkan login kata sandi, tidak terdampak.
CVE belum dialokasikan hingga waktu penerbitan. Pihak resmi menyatakan akar penyebabnya terkait peminjaman nilai garam akun lain saat tidak ada PAM, serta crypt() pada musl yang mengembalikan * untuk kata sandi terlalu panjang; patch untuk OpenSSH 10.6p2 dan berbagai cabang stabil telah diperbaiki. Disarankan untuk segera menjalankan apk upgrade dan me-restart sshd; hanya meningkatkan paket tidak akan menggantikan proses daemon yang sedang berjalan; jika tidak dapat segera diperbarui, nonaktifkan otentikasi kata sandi. Pengguna alpine pada citra tiny-cloud resmi memiliki kata sandi * dan dapat menjalankan doas tanpa kata sandi; keberadaan hash $6$ di sistem lokal dapat dieksploitasi hingga menjadi root.