OpenSSH publie un correctif d'urgence pour une faille critique sur Alpine Linux

OpenSSH a publié la version 10.6p2 pour corriger une vulnérabilité critique qui permettait à des attaquants de se connecter à des comptes sans mot de passe sur certains serveurs Alpine Linux. Cette faille affectait notamment les comptes utilisant uniquement des clés SSH.

Le problème provient d'une interaction entre sshd et musl, la bibliothèque C utilisée par Alpine. Lorsque sshd vérifie un mot de passe sans passer par PAM, la fonction crypt de musl rejette les mots de passe dépassant 256 octets et renvoie un astérisque. Cette valeur correspond exactement à celle présente dans le champ mot de passe des comptes sans mot de passe, ce qui conduit sshd à autoriser la connexion si l'attaquant envoie un mot de passe long de 257 à 1 024 octets.

Selon l'avis de sécurité d'Alpine, un serveur est vulnérable s'il remplit quatre conditions. Il doit utiliser le paquet openssh-server compilé sans PAM ou openssh-server-pam avec l'option UsePAM réglée sur non. L'authentification par mot de passe doit être activée, ce qui est le réglage par défaut. Le système doit posséder un compte sans mot de passe et au moins un autre compte avec un hachage de mot de passe de type $5$ ou $6$. Un attaquant ayant un accès réseau et connaissant le nom du compte cible peut réussir l'attaque systématiquement en une seule tentative.

Les systèmes utilisant glibc, les systèmes non Linux et ceux vérifiant les mots de passe via PAM ne sont pas touchés. Cela inclut les conteneurs sans sshd et les images cloud configurées via cloud-init où l'authentification par mot de passe est désactivée. Cependant, les images tiny-cloud de la version 3.18.11 à 3.24.3 sont à risque car elles permettent à l'utilisateur alpine d'utiliser doas sans mot de passe. Si un administrateur définit ensuite un mot de passe console, un attaquant peut se connecter en tant qu'utilisateur alpine et obtenir immédiatement les droits root.

Des chercheurs de Wakefield, qui ont signalé la faille, suggèrent de vérifier d'autres systèmes utilisant musl, tels que OpenWrt, Buildroot et Yocto. Actuellement, aucune attaque réelle n'a été signalée et aucun numéro CVE n'a été attribué.

Alpine a publié des paquets corrigés pour toutes les versions remontant jusqu'à la 3.16, y compris les branches dont le support a expiré. Les versions 3.21.10, 3.22.8, 3.23.8 et 3.24.4 incluent ce correctif. Les administrateurs doivent mettre à jour le système et redémarrer sshd manuellement car la mise à jour du paquet ne redémarre pas le service. Ceux qui compilent OpenSSH eux-mêmes doivent passer à la version 10.6p2. En alternative, OpenSSH recommande de désactiver l'authentification par mot de passe. Il est également conseillé de vérifier les journaux dans /var/log/messages pour détecter des connexions acceptées sur des comptes sans mot de passe, ce qui indiquerait une compromission du système.