Bezpieczeństwo6 lis 2026, 09:29 UTC·1 min czytania

Luka w OpenSSH i musl pozwala wejść do Alpine Linux z dowolnym hasłem

Dziesięcioletni błąd we współpracy OpenSSH z biblioteką musl pozwala logować się na zablokowane konta hasłem o długości od 257 do 1024 znaków.

Terminal window showing an SSH login prompt on a Linux server, symbolizing an authentication bypass vulnerability. — Zdjęcie: Frandroid

Badacze odkryli lukę, która pozwala atakującemu zalogować się przez SSH na zablokowane konto z dowolnym hasłem o długości od 257 do 1024 znaków. Problem dotyczy współdziałania OpenSSH, najpopularniejszego oprogramowania do połączeń SSH, z musl, biblioteką języka C.

Zagrożona jest przede wszystkim domyślna konfiguracja Alpine Linux, dystrybucji bardzo popularnej w chmurze i obrazach Docker. Na atak mogą być narażone także inne systemy oparte na tych samych komponentach: OpenWrt w routerach oraz Buildroot i Yocto w urządzeniach IoT.

Jak działa błąd

Oprócz pary OpenSSH i musl muszą być spełnione dodatkowe warunki, między innymi hasło zahaszowane algorytmem SHA256 lub SHA512. W systemach opartych na Alpine są one dość typowe. Zbyt długie hasło wywołuje błąd, który zwraca systemowi znak „*”. To dokładnie ten znak, którym oznacza się konta niekorzystające z hasła, więc logowanie zostaje uznane za udane.

Luka jest łatwa do wykorzystania. Choć podatnych maszyn jest niewiele, nietrudno znaleźć te, które wystawiają port SSH do internetu, i wysłać im zbyt długie hasło. Wystarczy jedno połączenie, by sprawdzić, czy dostęp się otworzy.

Odkrycie i poprawka

Błąd istnieje od 2016 roku i przez dziesięć lat pozostawał niezauważony. Znalazł go Özgün Kültekin z firmy Wakefield, korzystając z pomocy zastępu agentów AI. Skompilował sshd we wszystkich możliwych konfiguracjach (glibc, musl, z PAM i bez) i wysłał, jak sam mówi, około 17 600 dziwnych połączeń: dziwne hashe, uszkodzone konta i zdecydowanie zbyt długie hasła.

Twórcy Alpine Linux i musl wydali już poprawkę, którą zaleca się zainstalować jak najszybciej. Jeśli nie wiesz, czy twoje urządzenia korzystają z Alpine Linux, najlepiej zaktualizować aplikacje Docker, serwer NAS, telewizor smart i router do najnowszej wersji systemu.