Met een extreem lang wachtwoord konden aanvallers binnenraken op sommige Alpine-servers met OpenSSH
Versie 10.6p2 dicht een lek op systemen met de C-bibliotheek musl, waar geblokkeerde accounts toch een wachtwoord aanvaardden.
OpenSSH heeft vorige donderdag versie 10.6p2 van de portable editie uitgebracht om een lek te dichten waarmee aanvallers op bepaalde Linux-systemen konden inloggen op accounts waarvoor aanmelden met een wachtwoord was uitgeschakeld. Het probleem treft systemen die gebouwd zijn op de C-bibliotheek musl, zoals Alpine Linux, dat veel in containers en cloudimages wordt gebruikt. De ontdekker, Özgün Kültekin van Wakefield, doopte het lek sshhole, meldt Cyber Security News.
Het lek vraagt een specifieke configuratie: wachtwoordaanmelding staat aan, PAM staat uit (de standaard op Alpine), er is een account met een sterretje in plaats van een wachtwoordhash en een ander account met een echte hash. Een wachtwoord van 257 tot 1.024 tekens wordt dan aanvaard voor het geblokkeerde account. Volgens Threat Landscape ligt de oorzaak bij musl, dat bij een mislukte versleuteling een sterretje teruggeeft in plaats van een lege waarde, en dat sterretje komt dan overeen met het veld van het geblokkeerde account.
Alpine heeft gepatchte pakketten klaar voor de ondersteunde versies en ook voor oudere takken. Wie niet meteen kan bijwerken, schakelt best wachtwoordaanmelding uit, na eerst te controleren dat aanmelden met sleutels werkt. Systemen die PAM gebruiken, distributies op basis van glibc en containers zonder draaiende SSH-server zijn niet getroffen.