sshole: luka w OpenSSH pozwala wejść do Alpine Linux bez hasła

Problem pojawia się, gdy OpenSSH sprawdza hasło dla konta, które nie powinno ich przyjmować. Nie znajduje tam potrzebnych danych, więc do weryfikacji używa informacji z innego konta. Jeśli podane hasło ma od 257 do 1024 bajtów, funkcja musl zwraca gwiazdkę jako sygnał błędu. Ten sam znak widnieje w zabezpieczonym koncie, więc serwer uznaje wartości za zgodne i wpuszcza użytkownika.

Korzenie sprawy sięgają 2012 roku, gdy musl zmienił sposób zgłaszania błędów i ograniczył długość haseł, by chronić przed atakami DoS. Cztery lata później OpenSSH wprowadził zmiany utrudniające ustalanie istniejących użytkowników na podstawie czasu odpowiedzi. W 2022 roku Alpine zmieniło konfigurację konta administratora, by umożliwić logowanie kluczami SSH. Rozwiązania te nałożyły się na siebie w nieprzewidziany sposób.

Kto jest zagrożony

Samo używanie Alpine nie oznacza podatności. Według Check Point muszą zajść jednocześnie: OpenSSH działa bez PAM, dopuszcza hasła i trafia na konto z gwiazdką. Musi też istnieć inne aktywne konto lokalne z hashem SHA-256 lub SHA-512. Systemy z wyłączonym logowaniem hasłem lub z PAM są poza ryzykiem.

Skutki bywają poważne, gdy przejęte konto ma podwyższone uprawnienia. Alpine wskazuje oficjalne obrazy chmurowe, w których użytkownik alpine uruchamia polecenia administratora przez doas bez hasła. Są one bezpieczne przy pierwszym uruchomieniu, ale mogą stać się podatne po dodaniu konta z odpowiednim hashem. Firma Previdian informuje o ośmiu próbach z jednego adresu IP i potwierdzonym dostępie z uprawnieniami administratora na serwerze-pułapce.

OpenSSH wydało wersję 10.6p2, a Alpine udostępniło aktualizacje dla kilku gałęzi, także starszych. Po instalacji łatek trzeba zrestartować usługę SSH. Gdy aktualizacja nie jest możliwa, zaleca się wyłączenie logowania hasłem i restart usługi, po sprawdzeniu, że klucze działają.