Повідомлення BlockBeats, 6 листопада: згідно з офіційним безпековим повідомленням Alpine Linux, у пакеті openssh-server при збірці без увімкненого PAM існує обхід аутентифікації за паролем: атакувальник, який зможе підключитися до SSH-порту, може у певних умовах здійснити один підключення та увійти без правильного пароля. Умови включають увімкнення PasswordAuthentication, наявність облікового запису з полем пароля *, а також наявність щонайменше ще одного локального облікового запису з хешем $5$ або $6$; атакувальник може успішно зіставити надзвичайно довгий пароль для облікового запису без пароля. Під впливом опинилися офіційно перевірені версії Alpine 3.21–3.24 та edge, а також припинені версії 3.16–3.20; системи, що використовують openssh-server-pam з UsePAM yes або мають вимкнену аутентифікацію за паролем, не піддаються ризику.
На момент публікації CVE ще не виділено. Офіційно зазначено, що коренева причина пов’язана з використанням солі іншого облікового запису без PAM, а також з тим, що crypt() у musl повертає * для надто довгих паролів; виправлення вже доступні для OpenSSH 10.6p2 та усіх стабільних гілок. Рекомендується негайно виконати apk upgrade та перезавантажити sshd — просте оновлення пакетів не замінить працюючий демон; якщо оновлення неможливе, слід вимкнути аутентифікацію за паролем. У офіційному образі tiny-cloud користувач alpine має пароль з *, а також може виконувати doas без пароля; якщо на вашому пристрої з’явиться хеш $6$, це може бути використано для отримання прав root.