BlockBeats melaporkan, pada 6 November, menurut pemberitahuan keselamatan rasmi Alpine Linux, terdapat kelemahan pengelakan autentikasi kata laluan pada pakej openssh-server apabila PAM tidak diaktifkan: penyerang yang dapat menyambung ke port SSH boleh log masuk sekali sahaja tanpa kata laluan yang betul di bawah syarat tertentu. Syarat-syarat tersebut termasuk PasswordAuthentication diaktifkan, wujudnya akaun dengan medan kata laluan sebagai *, serta sekurang-kurangnya satu akaun lain di mesin tempatan yang mempunyai hash $5$ atau $6$; penyerang boleh berjaya mencocokkan akaun tanpa kata laluan dengan menghantar kata laluan yang sangat panjang. Lingkungan yang terjejas merangkumi Alpine 3.21–3.24 dan edge yang telah disemak rasmi, serta versi 3.16–3.20 yang telah dihentikan pembaharuannya; sistem yang menggunakan openssh-server-pam dengan UsePAM yes, atau yang telah menutup log masuk kata laluan, tidak terjejas.
CVE belum dialokasikan pada masa penulisan. Pihak rasmi menyatakan punca utama berkaitan penggunaan nilai garam akaun lain tanpa PAM, serta fungsi crypt() pada musl yang mengembalikan * untuk kata laluan yang terlalu panjang; pampasan untuk OpenSSH 10.6p2 dan semua cabang stabil telah diperbaiki. Disarankan untuk segera menjalankan apk upgrade dan restart sshd, kerana hanya meningkatkan pakej tidak akan menggantikan proses penjaga yang sedang berjalan; jika tidak dapat meningkatkan segera, matikan pengesahan kata laluan. Pengguna alpine dalam imej tiny-cloud rasmi mempunyai kata laluan * dan boleh menjalankan doas tanpa kata laluan; sekiranya terdapat hash $6$ di peranti ini, ia boleh dieksploitasi untuk mendapatkan akses root.