Alpine警示OpenSSH密码认证可被一键绕过

BlockBeats 消息，11 月 6 日，据 Alpine Linux 官方安全通告，其 openssh-server 包在未启用 PAM 的构建下存在密码认证绕过：攻击者只要能连上 SSH 端口，在特定条件下可一次连接、无需正确密码完成登录。条件包括开启 PasswordAuthentication、存在密码字段为 * 的账户，以及本机至少还有一个带 $5$ 或 $6$ 哈希的账户；攻击者对无密码账户提交超长口令即可匹配成功。受影响范围覆盖官方核查过的 Alpine 3.21–3.24 与 edge，以及已停更的 3.16–3.20；使用 openssh-server-pam 且 UsePAM yes、或已关闭密码登录的系统不受影响。

截至发稿时尚未分配 CVE。官方称根因与无 PAM 时借用其他账户盐值、以及 musl 的 crypt() 对超长口令返回 * 有关；OpenSSH 10.6p2 与各稳定分支补丁包已修复。建议立即 apk upgrade 并重启 sshd，仅升级包不会替换正在运行的守护进程；暂无法升级时应关闭密码认证。官方 tiny-cloud 镜像中的 alpine 用户带 * 口令且可无密码 doas，一旦本机出现 $6$ 哈希即可能被利用至 root。