פגם משולב ב-OpenSSH וב-musl libc מאפשר לתוקפים לעקוף סיסמאות ב-Alpine ובהפצות Linux נוספות

ממליצים על תיקונים דחופים ואמצעי מניעה לאחר שנמצא באג משולב ב-OpenSSH וב-musl libc המאפשר גישה ל-Alpine Linux, OpenWRT והפצות Linux נוספות ללא סיסמה תקפה. על ידי הקלדת יותר מ-256 תווים בהנחיית סיסמת SSH, תוקף יכול להיכנס למערכות שבהן מוגדרת סיסמה ריקה למשתמש מערכת, מצב שהוא ברירת המחדל במספר הפצות.

איפה הפגם חל

הבאג קיים, אף שלא בהכרח מופעל, ב-Buildroot, Yocto ו-Void Linux. OpenWRT משתמש ב-Dropbear לאימות כברירת מחדל, אך משתמשים יכולים להתקין OpenSSH במקום. הדאגה הגדולה ביותר היא Alpine, שתוארה כבחירה נפוצה למיליוני התקנות בין מכלי Docker, Kubernetes ו-Proxmox, שרתים, מכונות וירטואליות בענן ומכשירים משובצים. Alpine מסופקת עם התנאים הנדרשים מוגדרים ואימות סיסמאות מופעל כברירת מחדל, ולכן היא דורשת תיקון מיידי.

כיצד הפגיעות פועלת

הפגיעות כרוכה ב-OpenSSH, ב-musl, באימות סיסמה שלא הושבת במפורש, באי שימוש ב-PAM ובמשתמש אחד שרירותי עם סיסמה שהוגדרה באמצעות גיבוב SHA-512/256. הבעיה כרוכה בכך שפונקציית crypt() של musl מחזירה "*" כמצב שגיאה במקום ערך null כנהוג, ו-OpenSSH משתמשת לאחר מכן בתוצאה זו להשוואה מול גיבוב סיסמה כאשר אין לעשות כן. קלט ארוך מדי מפעיל את שרשרת הטעויות. ב-/etc/passwd או ב-/etc/shadow, כוכבית בודדת מייצגת את גיבוב הסיסמה עבור חשבונות ללא סיסמה, כלומר סיסמה ריקה לא אמורה לאפשר כניסה.

אמצעי מניעה ותיקונים

על מנהלי מערכות לתקן מערכות מיידית, בהתאם להערת האזהרה של הפרויקט. הדרך הקלה ביותר להפחתת הסיכון היא לקבוע במפורש "PasswordAuthentication" ל-"no" בקובץ התצורה של OpenSSH ולהפעיל מחדש את השירות. בעוד שרוב ההתקנות של Alpine והתקנות דומות אינן נגישות מהאינטרנט, תוקף שנמצא בתוך רשת, לרבות סביבות ארגוניות, מעבדות בית, רשתות ענן ו-VPNs, יכול לנצל את הפגם. נדרש חשבון משתמש תקף אחד, שעשוי שלא להיות קשה להשגה בסביבה ארגונית גדולה דיה. סריקה ובדיקה של הפגיעות מתוארים גם כטריוויאליות. OpenSSH פרסמה תיקון והודעת ייעוץ, וכמוהו Rich Felker, מחבר musl. שני הצדדים נראים כמי שמאמינים שהאחר אשם, אך האשמה משותפת.

סיקור קודם: Portable OpenSSH 10.6p2 שוחררה עם פתרון אבטחה זמני ותיקוני באגים

מקורות: Tom's Hardware · Alpine Linux · Ars Technica · The Hacker News