Alpine Linux och OpenSSH har åtgärdat en kritisk sårbarhet

Alpine Linux har åtgärdat en allvarlig säkerhetsbrist i OpenSSH som kan tillåta obehöriga att ta full kontroll över ett system.

Sårbarheten, identifierad som CVE-2026-123158, gör det möjligt för en angripare att logga in på konton som endast använder publika nycklar eller konton där lösenord är inaktiverade. Detta sker genom att angriparen skickar ett lösenord med en längd på mellan 257 och 1024 byte till serverns SSH-port. Enligt ett säkerhetsmeddelande från Alpine Linux kan intrånget ske vid en enda anslutning och attacken lyckas varje gång utan behov av nya försök.

Problemet uppstår i system som kör Alpine Linux eller andra distributioner som använder musl, förutsatt att standardpaketet openssh-server är installerat utan stöd för Pluggable Authentication Modules och att lösenordsautentisering är aktiverad. Orsaken är att musl-bibliotekets crypt-funktion returnerar tecknet asterisk när ett lösenord överstiger 256 byte. Eftersom konton utan lösenord också lagrar en asterisk i sitt lösenordsfält, matchar värdena och inloggningen godkänns.

För att attacken ska fungera krävs namnet på målkontot samt att det finns minst ett konto i systemet med fem eller sex lösenordshashar. Alpine Linux uppger att om det finns en enda användare med lösenord, kan alla konton utan lösenord nås.

Andra operativsystem som använder musl och kan vara påverkade inkluderar Adelie Linux, Void Linux, Sabotage Linux, OpenWrt samt Yocto Project. Företaget Wind River undersöker för närvarande sårbarheten för att utvärdera omfattningen och vidta nödvändiga åtgärder.

Distributioner som Debian, Ubuntu och Fedora påverkas inte eftersom de använder glibc, vars crypt-funktion returnerar NULL vid fel, vilket leder till att anslutningen nekas. Gruppen *sshole har påpekat att detta fenomen har varit en latent bieffekt sedan 2016.