BlockBeatsの情報によると、11月6日、Alpine Linux公式セキュリティアドバイザリーによると、PAMを無効化したビルドにおいて、openssh-serverパッケージにパスワード認証のバイパス脆弱性が存在します。攻撃者はSSHポートに接続できるだけで、特定の条件下で1回の接続で正しいパスワードなしにログインできます。その条件は、PasswordAuthenticationが有効であること、パスワードフィールドが*であるアカウントが存在すること、およびローカルに少なくとも1つ以上の$5$または$6$ハッシュを持つアカウントが存在することです。攻撃者はパスワードなしのアカウントに超長のパスワードを送信することでマッチに成功します。影響を受ける範囲は、公式が確認したAlpine 3.21–3.24およびedge、およびサポート終了した3.16–3.20です。openssh-server-pamを使用し、UsePAM yesと設定されている、またはパスワードログインを無効化しているシステムは影響を受けません。
投稿時点ではCVEは割り当てられていない。公式によると、根本原因はPAMが使用されていない状態で他のアカウントのソルトを借用することと、muslのcrypt()が超長パスワードに対して*を返すことに起因する。OpenSSH 10.6p2および各安定ブランチのパッチパッケージで修正済み。直ちにapk upgradeを実行しsshdを再起動することを推奨する。パッケージのみのアップグレードでは実行中のデーモンは置き換えられない。アップグレードが暫定的に不可能な場合は、パスワード認証を無効化すること。公式tiny-cloudイメージのalpineユーザーは*パスワードが設定されており、無認証でdoasが可能である。ローカルに$6$ハッシュが出現した場合、root権限への悪用が可能である。