Au-delà de 256 octets, un mot de passe ouvre les comptes verrouillés, root compris, des serveurs OpenSSH sous musl
Une combinaison de choix dans la bibliothèque C musl et dans OpenSSH est passée inaperçue pendant près de dix ans, notamment dans Alpine Linux.
Le chercheur Özgün Kültekin a découvert une faille permettant à un attaquant d'accéder à certains systèmes Linux via SSH en saisissant un mot de passe de 257 à 1.024 caractères, rapporte The Register. Le problème, baptisé *sshole, touche les systèmes qui utilisent la bibliothèque C légère musl au lieu de la bibliothèque GNU glibc, et dont le serveur SSH tourne sans PAM avec l'authentification par mot de passe activée. Il vise précisément les comptes qui ne sont pas censés accepter de mot de passe, comme root ou les utilisateurs qui se connectent uniquement par clé.
Tout tient à un astérisque. Au lieu d'une empreinte de mot de passe, les comptes verrouillés comportent souvent un simple * dans le fichier des mots de passe. Musl renvoie lui aussi un * lorsque sa fonction crypt échoue, ce qui arrive justement avec les mots de passe de plus de 256 octets, explique le blog allemand Linux und Ich. Ces deux choix remontent à 2012. Lorsqu'OpenSSH a colmaté une fuite liée aux temps de réponse en 2016, le serveur s'est mis à vérifier un mot de passe pour ces comptes aussi. Depuis, dans cette situation, OpenSSH compare un astérisque à un astérisque et laisse entrer le visiteur.
Les ordinateurs et serveurs classiques sous Ubuntu, Debian ou Arch ne courent aucun risque, car ils utilisent glibc et PAM par défaut. Les systèmes embarqués, les routeurs et les conteneurs peuvent en revanche être vulnérables, et surtout Alpine Linux, qui utilise musl comme bibliothèque standard et fournit des images cloud officielles pour AWS et Azure, selon The Register. OpenSSH a publié jeudi la version 10.6p2, qui corrige le problème.