Faille OpenSSH : un mot de passe quelconque ouvre Alpine Linux
Un bogue vieux de dix ans entre OpenSSH et la bibliothèque musl permet de se connecter à un compte verrouillé avec n’importe quel mot de passe de 257 à 1 024 caractères.
SUMO · le puzzle de nombres
Dialo · apprenez les langues en parlant
ediviewer · lisez les fichiers EDI comme des documents
giftdetect · le bon cadeau en quelques minutesUne nouvelle vulnérabilité touchant l’interaction entre OpenSSH et musl, une bibliothèque C, permet à un pirate de se connecter à un compte verrouillé avec n’importe quel mot de passe de 257 à 1 024 caractères. Elle concerne la configuration par défaut d’Alpine Linux, une distribution très répandue dans le cloud et les images Docker.
Cette découverte survient peu après la faille PHP qui a mis à terre de nombreux serveurs web. Elle vise cette fois SSH, le protocole utilisé pour se connecter à une machine distante en ligne de commande.
Un contournement très simple
De façon simplifiée, un mot de passe de cette longueur provoque une erreur qui renvoie le caractère « * » au système. Or ce signe désigne les comptes qui ne reposent pas sur un mot de passe : la connexion est donc validée. D’autres conditions doivent être réunies, comme un mot de passe haché en SHA256 ou SHA512, mais elles sont courantes sur les systèmes basés sur Alpine Linux.
D’autres systèmes qui reposent sur les mêmes briques peuvent aussi être exposés : OpenWrt pour les routeurs, Buildroot et Yocto pour les objets connectés.
La faille est facile à exploiter. Peu de machines sont vulnérables, mais il est aisé de repérer celles qui exposent leur port SSH sur Internet et de leur envoyer un mot de passe trop long. Une seule connexion suffit pour savoir si l’accès s’ouvre.
Dix ans sous les radars
Présente depuis 2016, la faille a été découverte par Özgün Kültekin, chercheur chez Wakefield, avec l’aide d’une armée d’agents d’IA. Il a compilé sshd dans toutes les configurations possibles (glibc, musl, avec ou sans PAM) avant d’y envoyer, selon ses mots, quelque 17 600 connexions bizarres : hachages étranges, comptes cassés et mots de passe bien trop longs.
Les développeurs d’Alpine Linux et de musl ont déjà déployé un correctif, à installer au plus vite. Si vous ignorez si vos appareils utilisent Alpine Linux, le plus sûr est de mettre à jour vos applications Docker, votre NAS, votre télévision connectée ou votre routeur vers la dernière version du système.
Des apps à découvrir
SUMO : le puzzle de nombresTouche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.
Dialo : apprenez les langues en parlantDiscutez avec un partenaire IA ; chaque phrase revient corrigée et expliquée dans votre langue. 9 langues, de A1 à C2.
ediviewer : lisez les fichiers EDI comme des documentsOuvrez des messages EDIFACT et X12, chaque segment expliqué, conversion JSON/XML, export PDF et Excel. Fonctionne en local, sans envoi.
giftdetect : le bon cadeau en quelques minutesChoisissez pour qui, l'occasion et la personnalité. Le moteur lit les descriptions de produits de boutiques locales et classe ce qui convient. Gratuit, sans inscription.
Plus d'actus de ce jour
Tout voir →
Apple Intelligence : des Usage Packs à 49,99 $ dans Logic Pro
Redalpine boucle RAC VIII, un fonds de 250 M$ pour les start-up
Valkyrie Dynamics lève 1 M€ pour des radars de drones intercepteurs
Red Hat lance OpenShift 5 avec des outils de dépannage par IA
Plus dans: Sécurité
Tout voir →
iOS 27.2.1 : Apple corrige neuf failles dans iMessage et le Bluetooth
Corée du Sud : le NIS veut alléger les tests des produits de sécurité
Anthropic visé par une enquête en Corée du Sud après une fuite
