Un mot de passe extrêmement long pouvait suffire pour s'introduire dans certains serveurs Alpine équipés d'OpenSSH
La version 10.6p2 corrige une faille sur les systèmes utilisant la bibliothèque C musl, où des comptes verrouillés acceptaient malgré tout un mot de passe.
OpenSSH a publié jeudi dernier la version 10.6p2 de son édition portable afin de combler une faille qui permettait à des attaquants de se connecter, sur certains systèmes Linux, à des comptes pour lesquels la connexion par mot de passe était désactivée. Le problème touche les systèmes construits sur la bibliothèque C musl, comme Alpine Linux, très utilisé dans les conteneurs et les images cloud. Son découvreur, Özgün Kültekin, de Wakefield, a baptisé la faille sshhole, rapporte Cyber Security News.
La faille suppose une configuration précise: connexion par mot de passe activée, PAM désactivé (le réglage par défaut sur Alpine), un compte avec un astérisque à la place d'un hachage de mot de passe et un autre compte avec un véritable hachage. Un mot de passe de 257 à 1.024 caractères est alors accepté pour le compte verrouillé. Selon Threat Landscape, la cause se trouve dans musl, qui renvoie un astérisque au lieu d'une valeur vide lorsque le hachage échoue, astérisque qui correspond alors au champ du compte verrouillé.
Alpine a préparé des paquets corrigés pour ses versions prises en charge ainsi que pour des branches plus anciennes. Ceux qui ne peuvent pas mettre à jour immédiatement ont intérêt à désactiver la connexion par mot de passe, après avoir vérifié que la connexion par clé fonctionne. Les systèmes qui utilisent PAM, les distributions basées sur glibc et les conteneurs sans serveur SSH actif ne sont pas concernés.