OpenSSH corrige falha que permitia acesso a contas sem senha no Alpine Linux

Resumo

• A OpenSSH lançou a versão 10.6p2 para bloquear uma falha crítica que permitia acesso a contas sem senha em determinados servidores Alpine Linux.

  A correção reduz o risco de invasão em servidores com as configurações vulneráveis.

• A Alpine publicou pacotes corrigidos para todas as versões desde a 3.16.

  Os pacotes oferecem uma correção para instalações antigas da distribuição.

• A falha podia permitir acesso a contas sem senha quando o servidor OpenSSH usava musl sem PAM, tinha autenticação por senha habilitada e ao menos uma conta com senha.

  A exploração dependia de uma combinação específica de configuração e biblioteca.

• A falha afetava servidores Alpine Linux e não atingia sistemas que usam glibc ou verificam senhas por meio do PAM.

  A distinção ajuda administradores a determinar quais sistemas precisam de medidas de proteção.

• A OpenSSH recomendou desativar a autenticação por senha ou o SSH nos sistemas afetados; não havia relatos de ataques que explorassem a falha.

  A recomendação oferece uma medida temporária enquanto os sistemas vulneráveis são corrigidos.

Dados

Contas com senha necessárias para a condição da falha

ao menos uma conta

Citações

• “Non-Linux systems, Linux systems built on glibc, and systems that check passwords through PAM are not affected, said Damien Miller of the OpenSSH project.”

  A distinção ajuda administradores a determinar quais sistemas precisam de medidas de proteção.

  — Damien Miller, integrante do projeto OpenSSH · ver em The Hacker News ↗

• “set PasswordAuthentication=no or disable SSH for these systems IMMEDIATELY.”

  A recomendação oferece uma medida temporária enquanto os sistemas vulneráveis são corrigidos.

  — Damien Miller, integrante do projeto OpenSSH · ver em The Hacker News ↗