OpenSSH släpper 10.6p2 för att stoppa inloggning utan lösenord

light decorations in dark area — Aron Visuals / Unsplash

OpenSSH har publicerat uppdateringen 10.6p2 för att åtgärda en säkerhetsbrist som möjliggör inloggning utan att känna till lösenordet. Bristen påverkar specifika konfigurationer av Alpine Linux där konton saknar lösenord och systemet är kompilerat med musl-biblioteket utan PAM-stöd.

För att utnyttja bristen måste en angripare ange ett lösenord på minst 257 tecken. Systemet accepterar då inloggningen omedelbart. Bristen kräver att systemet är kompilerat för att använda musl, vilket är vanligt i små Linux-distributioner, och att PAM inte är aktiverat. Det påverkade kontot måste dessutom vara konfigurerat utan lösenord.

Alpine Linux är populärt bland användare av Docker. Standardinställningen för root-kontot saknar lösenord, men inloggning via SSH med lösenord är blockerat, vilket innebär att systemet inte är direkt drabbat. Användare som skapar egna konton utan lösenord och ger dessa rättigheter via doas för att bli root är dock utsatta. Många Docker-avbildningar av Alpine Linux installerar inte SSH, vilket minskar risken. Användare som kör servrar eller har SSH installerat i Docker bör dock verifiera sina system omedelbart.