Alpine Linux опубликовала предупреждение об обходе парольной аутентификации в openssh-server. Администраторам рекомендуют немедленно обновить пакет openssh и перезапустить sshd: одна установка новой версии не заменяет уже работающий процесс. Если обновление пока невозможно, альтернативой является PasswordAuthentication no с последующим перезапуском сервера. Перед этим нужно убедиться, что вход по ключу работает, и сохранить текущую сессию до проверки нового подключения.
Проблема затрагивает Alpine-сборки без PAM, а также openssh-server-pam с UsePAM no, если включена парольная аутентификация. Вариант с UsePAM yes не затронут. Уязвимость связана с учётными записями без пароля, включая key-only пользователей и часть конфигураций root. Сам по себе root в стандартной настройке защищён PermitRootLogin prohibit-password, но другой доступный аккаунт может позволить повысить привилегии через doas. Контейнеры без sshd, системы с отключённым парольным входом и конфигурации с заблокированными через ! учётными записями не затронуты описанным сценарием.
Исправления включены в Alpine 3.21.10, 3.22.8, 3.23.8 и 3.24.4, а также в OpenSSH 10.6p2 для edge. Патчи перенесены в стабильные ветки вплоть до Alpine 3.16, включая уже неподдерживаемые выпуски. Это важно для машин, которые нельзя быстро обновить до свежей версии дистрибутива: можно установить исправленный пакет соответствующей ветки.
Отдельно предупреждение касается официальных tiny-cloud-образов с 3.18.11 по 3.24.3. В них присутствует пользователь alpine без пароля и с passwordless doas. Первоначальная конфигурация безопасна, но после появления локального парольного хеша настроенная система может стать уязвимой. Образы, собранные из новых точечных релизов, содержат исправление; уже запущенные экземпляры всё равно необходимо обновить или перевести на вход без паролей.
Для проверки возможного инцидента Alpine советует искать в /var/log/messages записи Accepted password для учётных записей, у которых пароля не существует. Также следует проверить использование doas, новых пользователей, файлы и authorized_keys на доступных из сети машинах. Если нельзя исключить подозрительный вход, систему рекомендуют считать скомпрометированной.
Первопричина связана с взаимодействием проверки паролей OpenSSH без PAM и поведением musl crypt(). OpenSSH 10.6p2 устраняет её на стороне sshd, а стабильные пакеты Alpine содержат аналогичный патч. На момент публикации CVE ещё не был назначен.