OpenSSH 10.6p2 закрывает обход пароля в Linux с musl без PAM: Alpine требует срочного обновления Кого затрагивает: Alpine 3.16–3.24 и edge: sshd без PAM или с UsePAM no, PasswordAuthentication yes, доступная учётная запись с полем * и другая локальная — с хешем $5$/$6$.

OpenSSH 10.6p2 устраняет обход пароля: sshd заимствует соль другой записи, а musl crypt() для 257–1024 байт возвращает *, совпадающую с полем пароля. Достаточно имени и доступа к SSH. Root доступен напрямую лишь при PermitRootLogin yes; возможен подъём через doas. CVE пока нет.

Исправления выпущены до Alpine 3.16 включительно. Обновите пакет и перезапустите sshd либо отключите PasswordAuthentication с перезапуском, заранее проверив вход по ключу.

Upgrading the package alone does not replace the running daemon.

Источники: Linuxiac · LWN · alpinelinux.org · openssh.org · openssh.org Читать полный обзор

Подпишись на @DeusOps