בשרתי Alpine Linux מסוימים אפשר להתחבר ב-SSH לחשבון שאין לו סיסמה, פשוט על ידי שליחת סיסמה ארוכה במיוחד. הבעיה נובעת מהאינטראקציה בין OpenSSH לספריית musl, ותוקנה בחירום ב-OpenSSH 10.6p2. למועד הפרסום לא הוקצה מספר CVE ולא פורסם ציון CVSS.
| מזהה | לא הוקצה CVE |
| מוצר מושפע | openssh-server ב-Alpine Linux (בנייה ללא PAM) |
| חומרה | לא פורסם ציון; הפרויקט מדרג כקריטית |
| מנוצל בפועל | לא דווח |
| תיקון | OpenSSH 10.6p2; Alpine 3.21.10, 3.22.8, 3.23.8, 3.24.4 |
מה קרה
ב-musl הפונקציה crypt() מחזירה * כשהסיסמה ארוכה מ-256 בתים והגיבוב הוא מסוג $5$ או $6$. אותו תו * שמור בשדה הסיסמה של חשבונות חסרי סיסמה, ולכן השרת רואה התאמה ומאשר את הכניסה.
החשיפה דורשת שכל ארבעת התנאים יתקיימו: שרת בלי PAM (או UsePAM no), הגדרה PasswordAuthentication yes (ברירת המחדל), חשבון עם * בשדה הסיסמה, וחשבון נוסף עם גיבוב $5$ או $6$. מערכות מבוססות glibc ומערכות שמאמתות דרך PAM אינן מושפעות. החוקר שדיווח: Özgün Kültekin מ-Wakefield.
נקודות לשים לב
- עדכן ואתחל את השירות:
apk upgrade -U -aואחריוrc-service sshd restart. - אם אי אפשר לעדכן מיד, הגדר
PasswordAuthentication no, הרץsshd -tואמת עםsshd -T. ודא שכניסה במפתח עובדת ושמור סשן פתוח בזמן השינוי. - בדוק מערכות אחרות מבוססות musl (OpenWrt, Buildroot, Yocto). Dropbear, ברירת המחדל ב-OpenWrt, אינו מושפע לפי הדיווח.
- חפש ב-
/var/log/messagesרשומות "Accepted password for" על חשבונות חסרי סיסמה, וסקור משתמשים חדשים, שימוש ב-doasו-authorized_keys.
מקורות: The Hacker News · Alpine Linux
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
