sshole, Alpine Linux OpenSSH 비밀번호 없이 로그인 가능

통하지 말아야 할 비밀번호

Linux의 /etc/shadow 파일에는 비밀번호 검증 정보가 저장됩니다. 해당 필드에 별표(*)가 있으면 일반 비밀번호 인증은 차단되고 SSH 키 같은 다른 방식만 쓸 수 있습니다. Kültekin의 분석에 따르면 OpenSSH는 이런 계정의 비밀번호를 확인할 때 필요한 데이터가 없어 다른 계정의 정보를 대신 사용합니다. 입력한 비밀번호가 257~1,024바이트이면 musl의 처리 함수가 오류를 알리려고 *를 반환합니다. 보호된 계정에도 같은 *가 있어 서버는 두 값이 일치한다고 판단하고 접속을 허용합니다.

뿌리는 오래됐습니다. 2012년 musl은 오류 전달 방식을 바꾸고 서비스 거부 공격을 막으려 비밀번호 길이 제한을 두었습니다. 2016년 OpenSSH는 응답 시간으로 사용자 존재 여부를 알아내지 못하도록 변경했습니다. 2022년 Alpine은 관리자 계정 설정을 SSH 키 접속이 가능하도록 조정했습니다. 서로 다른 문제의 해법이 예상치 못하게 맞물린 것입니다.

영향받는 조건

Alpine을 쓴다고 모두 취약한 것은 아닙니다. Check Point에 따르면 OpenSSH가 PAM 없이 동작하며 비밀번호를 허용하고, *가 있는 계정이 있어야 합니다. 또 SHA-256 또는 SHA-512 해시를 가진 다른 활성 로컬 계정도 필요합니다. 비밀번호 인증을 끄거나 PAM을 쓰는 시스템은 해당되지 않습니다.

권한이 높은 계정이면 피해가 커질 수 있습니다. Alpine은 공식 클라우드 이미지에서 alpine 사용자가 doas로 비밀번호 없이 관리자 명령을 실행하는 사례를 듭니다. 첫 부팅 때는 안전하지만 이후 호환되는 해시의 계정을 설정하면 취약해질 수 있습니다. Previdian은 동일 IP에서 8차례 시도를 탐지했고 미끼 서버에서 관리자 권한 접속을 확인했다고 밝혔습니다.

OpenSSH는 10.6p2를 배포했고 Alpine도 오래된 브랜치를 포함해 업데이트를 내놓았습니다. 패치 후에는 SSH 서비스를 재시작해야 합니다. 업데이트가 어렵다면 키 인증이 작동하는지 확인한 뒤 비밀번호 인증을 끄고 서비스를 재시작할 것을 권고합니다.