sshole: уязвимость OpenSSH в Alpine Linux даёт вход без пароля

Сбой возникает, когда OpenSSH проверяет пароль для учётной записи, которая не должна его принимать. Не найдя нужных данных, он использует сведения другой записи. Если введённый пароль имеет длину от 257 до 1024 байт, функция musl возвращает звёздочку как признак ошибки. Тот же символ записан в защищённой учётной записи, и сервер считает значения совпавшими, разрешая вход.

История ошибки уходит в 2012 год: тогда musl изменил способ сообщения об ошибках и ввёл ограничение длины пароля для защиты от DoS-атак. Четырьмя годами позже OpenSSH внёс изменения, чтобы нельзя было определить существующих пользователей по времени ответа. В 2022 году Alpine настроил учётную запись администратора для доступа по SSH-ключам. Эти решения касались разных задач, но неожиданно наложились друг на друга.

Кто под угрозой

Само использование Alpine не означает уязвимости. По данным Check Point, нужно сочетание условий: OpenSSH работает без PAM, допускает пароли и сталкивается с записью со звёздочкой. Кроме того, должна быть другая активная локальная запись с хешем пароля SHA-256 или SHA-512. Системы с отключённой парольной аутентификацией или с PAM в зоне риска не находятся.

Последствия серьёзны, если взломанная запись обладает повышенными правами. Alpine приводит пример официальных облачных образов, где пользователь alpine выполняет команды администратора через doas без пароля. При первом запуске такие образы безопасны, но могут стать уязвимыми, если позже настроить учётную запись с подходящим хешем. Компания Previdian сообщает о восьми попытках с одного IP-адреса и подтверждённом доступе с правами администратора на одном из своих серверов-ловушек.

OpenSSH выпустил версию 10.6p2, а Alpine обновил несколько веток, включая старые. Установки патчей недостаточно: нужно перезапустить службу SSH. Если обновиться пока нельзя, рекомендуется отключить вход по паролю и перезапустить службу, предварительно убедившись, что вход по ключам работает.