Комбінована вразливість OpenSSH і musl libc дозволяє обходити паролі в Alpine та інших дистрибутивах Linux

Рекомендовані термінові виправлення та заходи після того, як комбіновану вразливість у OpenSSH і musl libc виявили: вона дозволяє отримати доступ до Alpine Linux, OpenWRT та інших дистрибутивів Linux без дійсного пароля. Якщо ввести понад 256 символів у запиті пароля SSH, зловмисник може потрапити до систем, де для системного користувача встановлено порожній пароль, а така умова є типовою для кількох дистрибутивів.

Де поширюється вразливість

Помилка наявна, хоча й не обов'язково увімкнена, у Buildroot, Yocto і Void Linux. OpenWRT типово використовує Dropbear для автентифікації, але користувачі можуть встановити OpenSSH замість нього. Найбільше занепокоєння викликає Alpine, який описують як поширений вибір для мільйонів встановлень у контейнерах Docker, Kubernetes і Proxmox, на серверах, у хмарних віртуальних машинах та на вбудованих пристроях. Alpine постачається з необхідними умовами та автентифікацією за паролем, увімкненою типово, тому його треба негайно оновити.

Як працює вразливість

Комбінація вразливості охоплює OpenSSH, musl, автентифікацію за паролем, яка не вимкнена явно, відсутність PAM і одного довільного користувача з паролем, встановленим за допомогою хеша SHA-512/256. Проблема полягає в тому, що функція crypt() бібліотеки musl повертає "*" як стан помилки замість нульового значення, як прийнято зазвичай, а OpenSSH потім використовує цей результат для порівняння з хешем пароля, хоча не повинен. Надто довгий ввід запускає ланцюг помилок. У /etc/passwd або /etc/shadow один символ зірочки є заповнювачем хеша пароля для облікових записів без пароля, тобто пароль не повинен працювати.

Заходи та виправлення

Адміністратори повинні негайно оновити системи, як зазначено в рекомендації проєкту. Найпростіше пом'якшення полягає в тому, щоб явно встановити "PasswordAuthentication" у "no" у файлі конфігурації OpenSSH і перезапустити службу. Хоча більшість встановлень Alpine та подібних систем недоступні з інтернету, зловмисник усередині мережі, зокрема в корпоративних середовищах, домашніх лабораторіях, хмарних мережах і VPN, може скористатися вразливістю. Потрібен один дійсний обліковий запис користувача, який у достатньо великому корпоративному середовищі може бути не важко отримати. Сканування та перевірку вразливості також описують як тривіальні. OpenSSH опублікував виправлення і примітку, як і автор musl Річ Фелкер. Обидві сторони, здається, вважають винною іншу, але відповідальність розділена.

Попереднє висвітлення: Портативний OpenSSH 10.6p2 випущено з обхідним рішенням для безпеки та виправленнями помилок

Джерела: Tom's Hardware · Alpine Linux · Ars Technica · The Hacker News