---
title: OpenSSH rilascia patch d'emergenza per vulnerabilità critica su Alpine Linux
url: https://www.dataloco.com/it/openssh-rilascia-patch-demergenza-per-vulnerabilita-critica-su-alpine-linux
published: 2026-11-08T14:27:52+00:00
language: it
section: Sicurezza
source: https://www.techtalkthai.com/openssh-emergency-patch-long-password-ssh-auth-bypass-alpine-linux/
organizations: OpenSSH, Alpine Linux, Wakefield, OpenWrt, Buildroot, Yocto
publisher: Dataloco
---

# OpenSSH rilascia patch d'emergenza per vulnerabilità critica su Alpine Linux

OpenSSH ha rilasciato la versione 10.6p2 per risolvere una vulnerabilità di livello critico che permette a un utente malintenzionato di accedere tramite SSH ad account senza password, come quelli che utilizzano esclusivamente chiavi SSH, su determinati server Alpine Linux.

Il problema deriva dall'interazione tra sshd e musl, la libreria C utilizzata da Alpine. Quando sshd verifica una password senza passare per PAM, la funzione crypt di musl rifiuta le password che superano i 256 byte e restituisce un asterisco. Poiché questo valore coincide con quello presente nel campo password degli account privi di password, sshd concede l'accesso. L'attacco ha successo ogni volta con una singola connessione se l'attaccante ha accesso al server tramite rete e conosce il nome dell'account obiettivo, inviando una password lunga tra 257 e 1.024 byte.

Secondo l'avviso di sicurezza di Alpine, i server sono a rischio se soddisfano quattro condizioni: l'uso del pacchetto openssh-server compilato senza PAM o openssh-server-pam con l'opzione UsePAM impostata su no, l'attivazione di PasswordAuthentication, che è l'impostazione predefinita, la presenza di account senza password e l'esistenza di almeno un altro account con hash della password di tipo $5$ o $6$.

I sistemi che utilizzano glibc, i sistemi non Linux e quelli che verificano le password tramite PAM non sono influenzati. Non sono a rischio i container che non eseguono sshd e le immagini cloud configurate tramite cloud-init che hanno già disattivato PasswordAuthentication. Tuttavia, le immagini tiny-cloud dalla versione 3.18.11 alla 3.24.3 sono vulnerabili poiché consentono all'utente alpine di usare doas senza password. Se l'amministratore imposta successivamente una password per la console, un attaccante può accedere come utente alpine e ottenere immediatamente i privilegi di root.

I ricercatori di Wakefield, che hanno segnalato la falla e pubblicato i dettagli tecnici, suggeriscono di controllare anche altri sistemi che utilizzano musl, tra cui OpenWrt, Buildroot e Yocto. Al momento non sono stati segnalati attacchi reali e non è stato ancora assegnato un numero CVE.

Alpine ha rilasciato pacchetti correttivi per tutte le versioni a partire dalla 3.16, inclusi i rami non più supportati. Le versioni point release 3.21.10, 3.22.8, 3.23.8 e 3.24.4 includono la correzione. Gli amministratori devono aggiornare il sistema e riavviare sshd, poiché l'aggiornamento del pacchetto non riavvia il servizio in esecuzione. Chi compila OpenSSH autonomamente deve aggiornare alla versione 10.6p2. In alternativa, OpenSSH consiglia di disattivare l'accesso tramite password impostando PasswordAuthentication su no dopo aver verificato l'accesso tramite chiavi SSH. È inoltre consigliato controllare i log in /var/log/messages per righe che indicano l'accettazione di password per account senza password, poiché in tal caso il sistema deve essere considerato compromesso.

## This story in other languages

- [Español](https://www.dataloco.com/es/openssh-publica-parche-de-emergencia-para-vulnerabilidad-critica-en-alpine-linux)
- [Deutsch](https://www.dataloco.com/de/openssh-veroffentlicht-notfall-patch-fur-kritische-sicherheitslucke-auf-alpine-linux)
- [Nederlands](https://www.dataloco.com/nl/openssh-brengt-noodpatch-uit-voor-kritieke-kwetsbaarheid-in-alpine-linux)
- [Norsk](https://www.dataloco.com/no/openssh-lanserer-106p2-for-a-luke-kritisk-sarbarhet-i-alpine-linux)
- [Polski](https://www.dataloco.com/pl/openssh-publikuje-pilna-poprawke-dla-krytycznej-luki-w-alpine-linux)