Les principaux points à retenir de ZDNET
- Un ancien bug affecte Alpine Linux et quelques autres distributions Linux.
- C’est à peu près aussi grave que possible.
- Vous devez appliquer le correctif dès que possible, puis redémarrer le logiciel corrigé.
Le scénario de cauchemar parfait pour un serveur Linux est celui où tout ce qu’un attaquant a à faire est d’atteindre le port Secure Shell (SSH) du serveur, d’y entrer directement et de s’en emparer. C’est ce qui est arrivé à Alpine Linux, le serveur Linux léger et populaire. Ajoutant l’insulte à l’injure, cela s’est produit quelques jours seulement après qu’Alpine Linux ait esquivé une balle de la taille d’une faille de sécurité dans son implémentation de GitLab.
Aussi : Linux Mint 27 arrive le mois prochain, et je l’aime déjà : à quoi s’attendre
Comment fonctionne l’attaque
Comme l’explique l’ingénieur en sécurité Gregory Bryant dans sa publication sur LinkedIn :
La plupart des contournements d’authentification proviennent de chaînes logiques complexes, mais la vulnérabilité Alpine Linux OpenSSH d’hier (CVE-2026-123158) se résume à un seul caractère : *.
Si vous exécutez Alpine Linux (ou une autre distribution basée sur Musl) avec le package openssh-server par défaut (pas de modules d’authentification enfichables (PAM)) et l’authentification par mot de passe activée, un attaquant peut se connecter à des comptes avec mot de passe désactivé ou avec clé uniquement en envoyant simplement un mot de passe d’une longueur comprise entre 257 et 1 024 octets.
C’est ça. C’est tout.
Alpine Linux n’est pas le seul système d’exploitation à utiliser musl, une version allégée de la bibliothèque C standard (libc). D’autres systèmes d’exploitation qui utilisent musl et qui sont potentiellement vulnérables incluent Adélie Linux ; Annuler Linux ; Saboter Linux ; OpenWrt, une variante d’Android, et le projet Yocto, utilisé pour créer des distributions Linux embarquées.
Aussi : Cette escroquerie bancaire intelligente entretient le phishing en simulant sa propre disparition
Wind River, qui produit la distribution Linux commerciale embarquée, Wind River Linux, se penche également sur le problème. Un représentant de l’entreprise m’a dit : “Wind River prend la sécurité au sérieux. Nous examinons activement la vulnérabilité signalée et évaluons son impact potentiel. Nous prendrons les mesures appropriées si nécessaire.”
En coulisses, lorsque OpenSSH est construit sans PAM, il vérifie les mots de passe en hachant la tentative de mot de passe à l’aide de la fonction crypt() de la bibliothèque C. Il compare ensuite le résultat au champ de mot de passe stocké du compte. Jusqu’ici, tout va bien.
Mais lorsqu’une clé fait plus de 256 octets, la fonction crypt() de musl renvoie la chaîne * comme indicateur d’erreur. C’est également ce que contient le champ Mot de passe pour tout compte sans mot de passe, comme un compte avec clé uniquement. Ainsi, le « hachage » correspond et la connexion réussit, et l’attaquant entre.
Aussi : La nouvelle distribution Cutefish Linux pourrait être le meilleur clone de MacOS du marché
Pour l’exploiter, un attaquant n’a besoin que du nom d’un tel compte. L’attaquant a également besoin d’au moins un autre compte sur la machine avec un hachage de 5 ou 6 mots de passe, puis d’envoyer un mot de passe de 257 à 1 024 octets. Selon Alpine, un seul utilisateur disposant d’un mot de passe suffit pour rendre accessible tous les comptes sans mot de passe.
Dans les systèmes Linux qui utilisent crypt() de la glibc, ce qui est presque tous les cas, la même tentative renverrait NULL en cas d’erreur, ce que sshd rejette déjà, donc Debian, Ubuntu, Fedora, etc. ne sont pas affectés.
Selon *sshole, le groupe qui a découvert le problème, il s’agit d’un effet secondaire caché depuis 2016.
Qui est exposé
Alpine a déclaré que chaque version vérifiée était affectée : 3.21 à 3.24, Edge et les anciennes branches 3.16 à 3.20. L’exposition nécessite les éléments suivants :
- Le package openssh-server, qui est construit sans PAM, ou openssh-server-pam avec UsePAM no.
- PasswordAuthentication défini sur yes, qui est la valeur par défaut d’OpenSSH.
- Un compte avec * comme champ de mot de passe et un autre compte avec un hachage 5 ou 6.
La racine n’est pas directement exposée dans la plupart des cas. Il est livré en tant que root:* dans l’image de base depuis environ Alpine 3.16, mais le mot de passe d’interdiction PermitRootLogin par défaut d’OpenSSH le bloque. Un autre compte qui peut devenir root, par exemple via doas, donne toujours à un attaquant un chemin vers root.
Alpine a identifié ses images officielles de petits nuages, versions 3.18.11 à 3.24.3, comme étant particulièrement vulnérables. Ceux-ci sont livrés avec un utilisateur alpin avec un champ de mot de passe * et des doas sans mot de passe. Ils sont sûrs au premier démarrage mais deviennent exploitables une fois qu’un hachage 6 existe sur la machine. Cela peut se produire lorsqu’un administrateur définit un mot de passe de console ou lorsque les données utilisateur ajoutent un utilisateur avec un mot de passe haché, ce qui signifie essentiellement tous.
Alpine a déclaré que ceux-ci ne sont pas concernés :
- Conteneurs qui n’exécutent pas sshd.
- Systèmes avec authentification par mot de passe désactivée.
- Systèmes utilisant openssh-server-pam avec UsePAM oui.
- Comptes verrouillés avec ! dans le champ mot de passe.
- Images cloud configurées via cloud-init, qui écrit le numéro d’authentification de mot de passe.
Le correctif
Alpine a publié jeudi les versions 3.21.10, 3.22.8, 3.23.8 et 3.24.4, avec le correctif OpenSSH parmi les modifications de sécurité. Il a également publié des packages corrigés pour chaque version jusqu’à la version 3.16. Alpine 3.21 a atteint la fin du support le 1er novembre.
L’OpenSSH 10.6p2 qui vient de sortir évite le problème dans sshd. Les branches stables d’Alpine proposent un correctif pour le même problème. Vous devez exécuter apk update -U -a puis redémarrer le démon avec rc-service sshd restart. Alpine a souligné que la mise à niveau du package ne remplace pas le démon en cours d’exécution. Toute personne qui ne peut pas mettre à jour doit définir le numéro d’authentification de mot de passe et redémarrer sshd, après avoir confirmé que la connexion par clé fonctionne.
Aussi : Maze Linux est la meilleure distribution axée sur la sécurité que j’ai jamais testée
Pour rechercher une attaque, Alpine a demandé aux administrateurs de rechercher dans /var/log/messages les lignes « Mot de passe accepté pour » qui nomment un compte sans mot de passe. Il a également conseillé de revoir l’utilisation du sous-exécuteur d’application OpenBSD dédié (doas) et les utilisateurs, fichiers et clés autorisées récemment créés. “Si vous ne pouvez pas exclure une connexion, considérez la machine comme compromise.” Juste ce que tu voulais pour ton week-end, je sais, mais nous y sommes.
Voir la bio complète
