Alpine выпустила исправления ошибки OpenSSH, допускавшей вход без пароля
Ошибка затрагивала некоторые конфигурации Alpine: парольный вход должен быть включён, PAM — отключён, а в системе должны быть аккаунты с пустым паролем и обычным паролем-хешем.
Alpine Linux сообщила об обходе парольной аутентификации в некоторых конфигурациях OpenSSH на системах с musl. По advisory, ошибка срабатывала при включённом PasswordAuthentication и отключённом PAM, если в системе одновременно были учётная запись без пароля и другая запись с хешем формата $5$ или $6$. Для атаки требовалось, чтобы злоумышленник мог подключиться к SSH-порту и отправить очень длинный пароль.
Проблема затрагивала пакет openssh-server без PAM и вариант openssh-server-pam при UsePAM no. Конфигурация PasswordAuthentication no не подвержена описанному сценарию. Уязвимость нельзя распространять на любой Linux-сервер с OpenSSH.
Alpine опубликовала исправленные пакеты для веток 3.16–3.24 и edge. После обновления необходимо перезапустить sshd: замена пакета сама по себе не перезапускает уже работающий демон. Если немедленное обновление невозможно, Alpine рекомендует отключить парольный вход и перезапустить службу.
Что пока неизвестно
Уязвимы не все Linux-системы: нужны одновременно конкретные настройки OpenSSH/PAM и сочетание типов учётных записей. Номера исправленных пакетов различаются по веткам Alpine; проверяйте advisory для используемого выпуска.
Источники
Источник не открывается?
Оригинальная страница может быть временно недоступна. Попробуйте открыть её позже; название и дата источника сохранены выше.