sshhole : faille OpenSSH sur Linux musl, comptes sans mot de passe
La faille critique sshhole touche OpenSSH sur Linux musl comme Alpine depuis 2016 : les comptes sans mot de passe acceptent tout mot de passe de plus de 256 caractères.
SUMO · le puzzle de nombres
Dialo · apprenez les langues en parlant
ediviewer · lisez les fichiers EDI comme des documents
giftdetect · le bon cadeau en quelques minutesUne vulnérabilité critique baptisée sshhole a été révélée dans OpenSSH sur les systèmes Linux utilisant la bibliothèque C musl. Présente depuis 2016, elle permet d’accéder à des comptes qui ne sont pas protégés par un mot de passe. Sont concernés notamment Alpine, OpenWrt, Buildroot et Yocto, ainsi que de nombreuses images Docker.
Le mécanisme de la faille
Les comptes qui n’ont pas vocation à exiger de mot de passe, avec le caractère * dans le champ correspondant, se mettent à accepter n’importe quel mot de passe de plus de 256 caractères. On pense à root, à un utilisateur de déploiement qui n’emploie que des clés SSH, aux utilisateurs LDAP et à l’utilisateur par défaut des images Alpine pour AWS et Azure. Selon la divulgation, tout mot de passe de 257 à 1024 caractères est accepté pour un tel compte.
Un système n’est exposé que si plusieurs conditions sont réunies : sshd tourne sur un système musl, PAM n’est pas utilisé, l’authentification par mot de passe est autorisée (c’est le réglage par défaut) et un compte avec * comme mot de passe existe. Il faut en outre qu’un autre compte possède un véritable mot de passe. Sous Alpine, le paquet openssh-server est configuré sans PAM par défaut, et certains administrateurs ajoutent explicitement UsePAM no.
Qui est concerné
Le risque est maximal avec les images officielles d’Alpine pour AWS et Azure. Leur utilisateur par défaut, alpine, présente ce réglage et peut exécuter des commandes via doas sans mot de passe, ce qui équivaut en pratique à des droits root.
Debian, Ubuntu, Fedora et toute autre distribution reposant sur glibc ne sont pas touchées. Il en va de même des configurations avec PAM, ainsi que de dropbear ou de l’implémentation OpenBSD d’OpenSSH.
Le correctif
Le problème est corrigé dans OpenSSH 10.6p2. Les administrateurs de systèmes musl, en particulier d’instances cloud et d’images de conteneurs fondées sur Alpine, doivent vérifier leur configuration et mettre à jour. Désactiver l’authentification par mot de passe lorsqu’elle est inutile permet aussi de fermer cette voie d’attaque.
Des apps à découvrir
SUMO : le puzzle de nombresTouche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.
Dialo : apprenez les langues en parlantDiscutez avec un partenaire IA ; chaque phrase revient corrigée et expliquée dans votre langue. 9 langues, de A1 à C2.
ediviewer : lisez les fichiers EDI comme des documentsOuvrez des messages EDIFACT et X12, chaque segment expliqué, conversion JSON/XML, export PDF et Excel. Fonctionne en local, sans envoi.
giftdetect : le bon cadeau en quelques minutesChoisissez pour qui, l'occasion et la personnalité. Le moteur lit les descriptions de produits de boutiques locales et classe ce qui convient. Gratuit, sans inscription.
Plus d'actus de ce jour
Tout voir →
ApplyNow : fuite de données de 396 920 personnes au Japon
Chrome 157 corrige 213 failles de sécurité, dont 7 critiques
Claude Code : les sous-agents en arrière-plan coûtent moins cher
