Mensagem do BlockBeats, 6 de novembro: segundo o aviso de segurança oficial do Alpine Linux, o pacote openssh-server, em construções sem PAM ativado, apresenta contorno de autenticação por senha: um atacante que consiga se conectar à porta SSH pode, em condições específicas, realizar um único acesso sem fornecer a senha correta. As condições incluem: PasswordAuthentication ativado, a existência de uma conta com campo de senha definido como *, e pelo menos mais uma conta local com hash $5$ ou $6$; o atacante pode obter sucesso ao enviar uma senha extremamente longa para uma conta sem senha. A faixa afetada abrange Alpine 3.21–3.24 e edge verificados oficialmente, bem como as versões descontinuadas 3.16–3.20; sistemas que utilizam openssh-server-pam com UsePAM yes ou que tenham desativado o login por senha não são afetados.
CVE ainda não atribuído até a publicação deste artigo. A equipe oficial afirma que a causa raiz está relacionada ao uso de salt de outras contas sem PAM e ao comportamento da função crypt() do musl, que retorna * para senhas muito longas; patches para OpenSSH 10.6p2 e todas as versões estáveis já foram corrigidos. Recomenda-se realizar imediatamente o apk upgrade e reiniciar o sshd, pois apenas atualizar os pacotes não substitui o daemon em execução; caso não seja possível atualizar imediatamente, desative a autenticação por senha. O usuário alpine nas imagens oficial tiny-cloud possui senha * e pode executar doas sem senha; a presença de um hash $6$ no sistema local pode ser explorada para obter acesso root.