BlockBeats tin tức, ngày 6 tháng 11, theo thông báo bảo mật chính thức của Alpine Linux, gói openssh-server trong các bản dựng không kích hoạt PAM có lỗ hổng vượt qua xác thực mật khẩu: kẻ tấn công chỉ cần kết nối đến cổng SSH, trong các điều kiện cụ thể, có thể thực hiện một lần kết nối và đăng nhập mà không cần mật khẩu chính xác. Các điều kiện bao gồm: bật PasswordAuthentication, tồn tại tài khoản có trường mật khẩu là *, và trên máy chủ ít nhất phải có một tài khoản khác với băm dạng $5$ hoặc $6$; kẻ tấn công có thể thành công bằng cách gửi mật khẩu cực dài đến tài khoản không có mật khẩu. Phạm vi ảnh hưởng bao gồm Alpine 3.21–3.24 và edge đã được xác minh chính thức, cũng như các phiên bản đã ngừng cập nhật 3.16–3.20; các hệ thống sử dụng openssh-server-pam với UsePAM yes hoặc đã tắt đăng nhập bằng mật khẩu thì không bị ảnh hưởng.
CVE chưa được phân bổ tại thời điểm bài viết. Theo thông báo chính thức, nguyên nhân gốc rễ liên quan đến việc sử dụng giá trị salt của tài khoản khác khi không có PAM, cũng như hàm crypt() trong musl trả về * khi xử lý mật khẩu quá dài; các bản vá cho OpenSSH 10.6p2 và các nhánh ổn định đã được sửa lỗi. Đề nghị thực hiện apk upgrade ngay lập tức và khởi động lại sshd, vì chỉ nâng cấp gói không thay thế tiến trình daemon đang chạy; nếu chưa thể nâng cấp, nên tắt xác thực bằng mật khẩu. Người dùng alpine trong hình ảnh tiny-cloud chính thức có mật khẩu *, và có thể thực hiện doas mà không cần mật khẩu; khi xuất hiện hash $6$ trên máy cục bộ, có thể bị khai thác để đạt quyền root.