Keamanan · 10 November 2026
Alpine Linux dan OpenSSH Perbaiki Kerentanan Keamanan Serius
Alpine Linux dan OpenSSH telah menerapkan perbaikan untuk kerentanan keamanan yang memungkinkan penyerang mengambil alih sistem sepenuhnya hanya dengan mengakses port Secure Shell.
Menurut pemberitahuan keamanan dari Alpine Linux, penyerang yang dapat mengakses port SSH pada server yang rentan dapat masuk hanya dengan satu kali koneksi. Serangan ini dilaporkan selalu berhasil dan tidak memerlukan upaya pengulangan.
Kerentanan yang diidentifikasi sebagai CVE-2026-123158 ini terjadi pada paket openssh-server standar yang tidak menggunakan Pluggable Authentication Modules dan mengaktifkan PasswordAuthentication. Masalah ini muncul pada Alpine Linux serta distribusi lain yang menggunakan musl, sebuah versi ringan dari pustaka C standar. Penyerang dapat masuk ke akun tanpa kata sandi atau akun khusus kunci publik hanya dengan mengirimkan kata sandi dengan panjang antara 257 hingga 1024 bita.
Secara teknis, fungsi crypt dalam musl mengembalikan karakter bintang jika diberikan kunci yang melebihi 256 bita sebagai penanda kesalahan. Karena akun tanpa kata sandi juga menyimpan karakter bintang di kolom kata sandinya, sistem menganggap nilai hash tersebut cocok dan mengizinkan akses masuk. Eksploitasi ini memerlukan nama akun target dan setidaknya satu akun dalam sistem yang memiliki hash kata sandi. Alpine Linux menyatakan bahwa jika ada satu pengguna yang memiliki kata sandi, maka semua akun tanpa kata sandi dapat diakses.
Selain Alpine Linux, sistem operasi lain yang menggunakan musl dan mungkin terdampak meliputi Adelie Linux, Void Linux, Sabotage Linux, OpenWrt, serta Yocto Project. Wind River juga sedang melakukan verifikasi dan evaluasi dampak terhadap distribusi Linux tertanam komersial mereka untuk mengambil tindakan yang diperlukan.
Masalah ini tidak memengaruhi Debian, Ubuntu, atau Fedora karena mereka menggunakan glibc, di mana fungsi crypt mengembalikan NULL saat terjadi kesalahan sehingga akses ditolak oleh sshd. Kelompok *sshole mengungkapkan bahwa fenomena ini merupakan efek samping yang telah ada secara potensial sejak tahun 2016.