BlockBeats haberi, 6 Kasım'da Alpine Linux resmi güvenlik duyurusuna göre, PAM etkinleştirilmemiş derlemelerde openssh-server paketinde kimlik doğrulama atlatma açıkları mevcut: Saldırgan, SSH portuna bağlanabildiğinde, belirli koşullar altında tek bir bağlantı ile doğru şifre olmadan giriş yapabilir. Bu koşullar şunları içerir: PasswordAuthentication etkin, şifre alanı * olan bir hesap mevcut ve yerel makinede en az bir $5$ veya $6$ hash'li hesap bulunuyor; saldırgan, şifresiz hesaplara çok uzun bir şifre göndererek başarıyla eşleşme sağlayabilir. Etkilenen aralık, resmi olarak denetlenen Alpine 3.21–3.24 ve edge ile desteklenmeyen 3.16–3.20 sürümlerini kapsar; openssh-server-pam kullanılıp UsePAM yes olarak ayarlanmış ya da şifre tabanlı girişler kapatılmış sistemler etkilenmez.
Yazıya kadar CVE atılmadı. Resmi kaynaklar, kök nedenin PAM yokken diğer hesapların tuz değerlerinin kullanılması ve musl'un crypt() fonksiyonunun çok uzun şifreler için * döndürmesiyle ilgili olduğunu belirtti; OpenSSH 10.6p2 ve tüm kararlı dallar için düzeltme paketleri yayınlandı. Hemen apk upgrade yapın ve sshd'yi yeniden başlatın; yalnızca paketleri yükseltmek çalışan servisi değiştirmeyecektir; yükseltme yapılamıyorsa şifre kimlik doğrulamayı kapatın. Resmi tiny-cloud görüntüsündeki alpine kullanıcısının şifresi * ile işaretlenmiş ve şifresiz doas yapılabilir; yerel sistemde $6$ hash'i görürseniz, bu root erişimine yol açabilir.