BlockBeats کی خبر، 6 نومبر، Alpine Linux کے سیکورٹی اعلان کے مطابق، اس کا openssh-server پیکیج PAM کو بند کیے ہوئے بنا ہوا ہے، جس میں پاس ورڈ تصدیق کو چھوٹ دیا جا سکتا ہے: حملہ آور صرف اس صورت میں SSH پورٹ سے جُڑ سکتا ہے، خاص شرائط کے تحت ایک بار کنکشن کے ذریعے درست پاس ورڈ کے بغیر لاگ ان ہو سکتا ہے۔ ان شرائط میں PasswordAuthentication کو چالو رکھنا، ایک ایسا اکاؤنٹ جس کا پاس ورڈ فیلڈ * ہو، اور اس سسٹم پر کم از کم ایک اور اکاؤنٹ جس کا ہیش $5$ یا $6$ ہو، شامل ہیں؛ حملہ آور بے پاس ورڈ والے اکاؤنٹ پر انتہائی لمبا پاس ورڈ داخل کرکے مطابقت حاصل کر سکتا ہے۔ متاثرہ دائرہ Alpine 3.21–3.24 اور edge، اور بند شدہ 3.16–3.20 تک پھیلا ہوا ہے؛ جن سسٹمز میں openssh-server-pam استعمال ہو رہا ہو اور UsePAM yes ہو، یا پاس ورڈ لاگ ان بند ہو، وہ متاثر نہیں ہوتے۔
اگر تک کہ اس مضمون کو جاری کیا گیا، CVE کو مختص نہیں کیا گیا ہے۔ باقاعدہ طور پر بتایا گیا ہے کہ بنیادی وجوہات PAM کے بغیر دوسرے اکاؤنٹس کے سولٹ کا استعمال اور musl کے crypt() کا طویل پاس ورڈ کے لیے * واپس کرنا ہیں؛ OpenSSH 10.6p2 اور تمام استحکام یافتہ شاخوں کے پیچ پیکجز درست کر دیے گئے ہیں۔ فوری طور پر apk upgrade کریں اور sshd کو دوبارہ شروع کریں، صرف پیکج اپ ڈیٹ کرنا چل رہے ڈیمون کو تبدیل نہیں کرے گا؛ اگر اپ ڈیٹ ممکن نہ ہو تو پاس ورڈ تصدیق بند کر دیں۔ باقاعدہ tiny-cloud امیج میں alpine صارف کا پاس ورڈ * ہے اور وہ بنا پاس ورڈ doas کر سکتا ہے، جب تک آپ کے سسٹم پر $6$ ہیش نہ ظاہر ہو جائے تو اسے root تک استعمال کیا جا سکتا ہے۔