sshole: OpenSSH-Lücke in Alpine Linux erlaubt Login ohne Passwort

So funktioniert der Fehler

Steht in der Datei /etc/shadow im Passwortfeld eines Kontos ein Sternchen (*), sollte die normale Passwortanmeldung blockiert sein; andere Verfahren wie kryptografische Schlüssel bleiben möglich. Laut Kültekin tritt das Problem auf, wenn OpenSSH ein Passwort für ein solches Konto prüft. Da dort die nötigen Daten fehlen, nutzt es Informationen eines anderen Kontos für die Überprüfung.

Hat das eingegebene Passwort zwischen 257 und 1.024 Bytes, gibt die zuständige musl-Funktion als Fehlersignal ein Sternchen zurück. Weil das geschützte Konto ebenfalls ein Sternchen enthält, hält der Server beide Werte für identisch und gewährt Zugang.

Die Ursprünge reichen weit zurück. 2012 änderte musl die Meldung bestimmter Fehler und begrenzte die Passwortlänge, um Denial-of-Service-Angriffe zu verhindern. Vier Jahre später führte OpenSSH Änderungen ein, damit Angreifer über Antwortzeiten nicht herausfinden können, welche Nutzer existieren. 2022 passte Alpine die Konfiguration seines Administratorkontos an, um Zugriff per SSH-Schlüssel zu erlauben. Jede Maßnahme löste ein eigenes Problem, doch zusammen wirkten sie unerwartet zusammen.

Wer betroffen ist

Alpine zu nutzen heißt nicht automatisch, verwundbar zu sein. Laut Check Point müssen mehrere Bedingungen gleichzeitig gelten: OpenSSH läuft ohne PAM, Passwortanmeldung ist erlaubt, und es existiert ein Konto mit Sternchen. Zudem muss ein weiteres aktives lokales Konto einen mit SHA-256 oder SHA-512 erzeugten Passwort-Hash besitzen. Systeme ohne Passwortauthentifizierung oder mit PAM sind nicht betroffen.

Besonders gravierend sind die Folgen, wenn das übernommene Konto erhöhte Rechte hat. Alpine nennt offizielle Cloud-Images, in denen der Nutzer alpine per doas ohne Passwort Administratorbefehle ausführen kann. Diese Images sind beim ersten Start sicher, können aber verwundbar werden, wenn später ein Konto mit kompatiblem Hash eingerichtet wird.

Es gibt bereits Hinweise auf Ausnutzung: Das Sicherheitsunternehmen Previdian meldet acht Versuche von einer einzigen IP-Adresse und einen bestätigten Zugang mit Administratorrechten auf einem Köder-Server.

Was zu tun ist

OpenSSH veröffentlichte Version 10.6p2, Alpine lieferte Updates für mehrere Zweige, auch ältere. Die Entwickler warnen: Das Einspielen der Patches genügt nicht, der SSH-Dienst muss neu gestartet werden. Wer noch nicht updaten kann, sollte die Passwortauthentifizierung deaktivieren und den Dienst neu starten – nachdem geprüft wurde, dass der Zugang per Schlüssel funktioniert.