Сообщение BlockBeats, 6 ноября: согласно официальному уведомлению о безопасности Alpine Linux, в пакете openssh-server при сборке без включённого PAM существует обход аутентификации по паролю: атакующий, имеющий доступ к порту SSH, может при определённых условиях выполнить вход за одну попытку, не указывая правильный пароль. Условия включают включение PasswordAuthentication, наличие учётной записи с полем пароля *, а также наличие как минимум ещё одной локальной учётной записи с хешем $5$ или $6$; атакующий может успешно пройти аутентификацию, отправив сверхдлинный пароль для учётной записи без пароля. Под угрозой находятся официально проверенные версии Alpine 3.21–3.24 и edge, а также устаревшие версии 3.16–3.20; системы, использующие openssh-server-pam с UsePAM yes или отключившие вход по паролю, не подвержены риску.
CVE еще не назначен на момент публикации. Официально указано, что корневая причина связана с использованием соли другого аккаунта при отсутствии PAM, а также с тем, что crypt() в musl возвращает * для слишком длинных паролей; исправления уже выпущены для OpenSSH 10.6p2 и всех стабильных веток. Рекомендуется немедленно выполнить apk upgrade и перезагрузить sshd — просто обновление пакетов не заменит работающий демон; если обновление невозможно, следует отключить аутентификацию по паролю. В официальном образе tiny-cloud пользователь alpine имеет пароль *, и doas можно выполнять без пароля; появление хеша $6$ на локальной системе может быть использовано для получения root-доступа.