Säkerhet · 8 november 2026
OpenSSH släpper akut uppdatering för kritiskt säkerhetsfel på Alpine Linux
OpenSSH har publicerat version 10.6p2 för att åtgärda ett kritiskt säkerhetsfel som möjliggör inloggning via SSH på konton utan lösenord på vissa Alpine Linux-serverar. Felen tillåter angripare att kringgå autentiseringen genom att skicka ett lösenord mellan 257 och 1 024 byte till konton som normalt kräver nyckelbaserad autentisering.
Sårbarheten uppstår genom samarbetet mellan sshd och musl, den C-bibliotek som Alpine Linux använder. När sshd verifierar lösenord utan att använda PAM, avvisar musls funktion crypt() lösenord som är längre än 256 byte och returnerar ett stjärntecken. Detta stjärntecken matchar exakt värdet i lösenordsfältet för konton som inte har ett lösenord inställt, vilket får sshd att acceptera inloggningen.
Enligt säkerhetsmeddelandet från Alpine är servern utsatt när fyra villkor är uppfyllda samtidigt. Systemet måste använda openssh-server som är kompilerad utan PAM, eller openssh-server-pam med inställningen UsePAM no. Dessutom måste PasswordAuthentication vara aktiverat, vilket är standardinställningen, och det måste finnas ett konto utan lösenord. Slutligen krävs att minst ett annat konto har ett lösenordskrypt med prefixet $5$ eller $6$.
En angripare som har nätverksåtkomst till servern och känner till målkontots namn kan genomföra attacken framgångsrikt med en enda anslutning. System som använder glibc, icke-Linux-system och system som verifierar lösenord via PAM påverkas inte. Detta gäller även containrar som inte kör sshd och molnbilder som konfigurerats via cloud-init, där PasswordAuthentication redan är inaktiverat.
En specifik risk finns i tiny-cloud-bilder från version 3.18.11 till 3.24.3, där användaren alpine kan använda doas utan lösenord. Om administratören senare sätter ett konsollösenord kan en angripare logga in som alpine och direkt eskalera till root. Forskare från Wakefield, som rapporterade felet, rekommenderar även att andra system som använder musl, såsom OpenWrt, Buildroot och Yocto, kontrolleras.
Det finns för närvarande inga rapporter om faktiska attacker och inget CVE-nummer har tilldelats. Alpine har publicerat åtgärdade paket för alla releaser tillbaka till version 3.16, inklusive stödfria grenar. Punktuppdateringarna 3.21.10, 3.22.8, 3.23.8 och 3.24.4 innehåller redan fixen. Administratörer bör uppdatera med kommandot apk upgrade -U -a och sedan starta om sshd med rc-service sshd restart, eftersom paketuppdatering inte automatiskt startar om den körande tjänsten.
De som bygger OpenSSH själva bör uppdatera till version 10.6p2. Om uppdatering inte är möjlig rekommenderar OpenSSH att lösenordsinloggning stängs av omedelbart genom att sätta PasswordAuthentication no, efter att ha verifierat att nyckelbaserad inloggning fungerar. Loggar i /var/log/messages bör granskas för rader med Accepted password for för konton utan lösenord. Om det inte går att utesluta att någon har loggat in bör systemet betraktas som komprometterat.