Alpine警示OpenSSH密碼認證可被一鍵繞過

BlockBeats 消息，11 月 6 日，據 Alpine Linux 官方安全通告，其 openssh-server 套件在未啟用 PAM 的建置下存在密碼認證繞過：攻擊者只要能連上 SSH 連接埠，在特定條件下可一次連線、無需正確密碼完成登入。條件包括開啟 PasswordAuthentication、存在密碼欄位為 * 的帳戶，以及本機至少還有一個帶 $5$ 或 $6$ 雜湊的帳戶；攻擊者對無密碼帳戶提交超長口令即可匹配成功。受影響範圍覆蓋官方核查過的 Alpine 3.21–3.24 與 edge，以及已停更的 3.16–3.20；使用 openssh-server-pam 且 UsePAM yes、或已關閉密碼登入的系統不受影響。

截至發稿時尚未分配 CVE。官方稱根因與無 PAM 時借用其他帳戶鹽值、以及 musl 的 crypt() 對超長口令返回 * 有關；OpenSSH 10.6p2 與各穩定分支補丁包已修復。建議立即 apk upgrade 並重啟 sshd，僅升級包不會替換正在運行的守護進程；暫無法升級時應關閉密碼認證。官方 tiny-cloud 映像中的 alpine 用戶帶 * 口令且可無密碼 doas，一旦本機出現 $6$ 雜湊即可能被利用至 root。