AlpineがOpenSSHのパスワード認証がワンクリックで回避可能と警告

BlockBeatsのニュース、11月6日、Alpine Linuxの公式セキュリティ勧告によると、openssh-serverパッケージはPAMを有効にしていないビルドにおいてパスワード認証バイパスが存在する。攻撃者がSSHポートに接続できるだけで、特定の条件下では1回の接続で正しいパスワードなしにログインを完了できる。条件には、PasswordAuthenticationが有効であること、パスワードフィールドが*のアカウントが存在すること、そしてローカルに少なくとも1つ$5$または$6$ハッシュを持つアカウントが存在することが含まれる。攻撃者はパスワードなしのアカウントに対して超長いパスフレーズを送信するだけで一致に成功する。影響範囲は公式が確認したAlpine 3.21～3.24とedge、およびサポート終了した3.16～3.20に及ぶ。openssh-server-pamを使用しUsePAM yesとしている場合、またはパスワードログインを無効にしているシステムは影響を受けない。

本稿執筆時点でCVEはまだ割り当てられていない。公式は根本原因について、PAMがない場合に他のアカウントのソルトを借用すること、およびmuslのcrypt()が超長いパスフレーズに対して*を返すことに関係すると述べている。OpenSSH 10.6p2と各安定ブランチのパッチパッケージで修正済み。直ちにapk upgradeを実行しsshdを再起動することを推奨する。パッケージをアップグレードするだけでは実行中のデーモンは置き換わらない。直ちにアップグレードできない場合はパスワード認証を無効にすべきである。公式のtiny-cloudイメージ内のalpineユーザーは*のパスワードを持ち、パスワードなしでdoasが可能であり、ローカルに$6$ハッシュが存在するとrootまで悪用される可能性がある。