sshole:Alpine LinuxのOpenSSHにパスワード不要で侵入される欠陥

「使えないはずのパスワード」が通る仕組み

Linuxでは/etc/shadowにパスワード検証用の情報が保存される。該当欄にアスタリスク()があれば通常のパスワード認証は拒否され、SSH鍵など他の方法のみ使える。Kültekin氏によると、OpenSSHはこうしたアカウントのパスワードを確認する際、必要なデータがないため別アカウントの情報で検証する。入力が257〜1,024バイトの場合、muslの処理関数はエラーを示すためにを返す。保護されたアカウントにも同じ*があるため、サーバーは両者が一致したと判断してアクセスを許可する。

背景には複数の経緯がある。2012年にmuslはエラーの返し方を変え、DoS攻撃を防ぐためパスワード長に上限を設けた。2016年にはOpenSSHが、応答時間からユーザーの存在を推測されないよう変更した。2022年にはAlpineが管理者アカウントの設定をSSH鍵でのアクセス向けに調整した。別々の問題への対策が、予期せぬ形で組み合わさったという。

影響を受ける条件

Alpineを使っているだけで脆弱になるわけではない。Check Pointによれば、OpenSSHがPAMなしで動作しパスワードを受け付けること、*のアカウントが存在することに加え、SHA-256またはSHA-512のハッシュを持つ別の有効なローカルアカウントが必要だ。パスワード認証を無効にした環境やPAMを使う環境は対象外となる。

高い権限を持つアカウントでは被害が深刻になり得る。Alpineは、公式クラウドイメージでalpineユーザーがdoas経由でパスワードなしに管理者コマンドを実行できる例を挙げる。初回起動時は安全でも、後から対応するハッシュのアカウントを設定すると脆弱になり得る。Previdianは、同一IPからの8回の試行を検知し、おとりサーバーで管理者権限のアクセスを確認したとしている。

OpenSSHは10.6p2を公開し、Alpineも古いブランチを含む更新を配布した。修正の適用後はSSHサービスの再起動が必要だ。更新できない場合は、鍵認証が動作することを確認した上でパスワード認証を無効にし、サービスを再起動するよう推奨している。