L’ÉDITION DU 6 NOVEMBRE 2026
Une faille d’authentification SSH touche certaines configurations Linux
Ars Technica décrit une vulnérabilité permettant une connexion sans mot de passe sur certaines configurations associant OpenSSH et musl, notamment sous Alpine Linux. Des correctifs sont disponibles, mais le périmètre des systèmes concernés reste partiellement incertain et dépend de plusieurs conditions précises.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
Une vulnérabilité dans certaines configurations associant OpenSSH et musl peut permettre une connexion sans mot de passe. Les correctifs d’Alpine et d’OpenSSH rendent la vérification des installations prioritaire. Le risque dépend toutefois de plusieurs paramètres d’authentification : la présence d’un service SSH ne suffit pas à conclure à une exposition.
Certaines configurations Linux permettent à un attaquant d’ouvrir une session SSH sans connaître de mot de passe, rapporte Ars Technica. La vulnérabilité, baptisée *sshole par la personne qui l’a découverte, concerne notamment Alpine Linux lorsque plusieurs conditions techniques sont réunies. Alpine et OpenSSH ont publié des mises à jour. L’existence de ces correctifs donne une réponse immédiate aux administrateurs concernés, même si l’étendue exacte du problème reste à établir.
Le problème apparaît dans l’interaction entre OpenSSH et musl, une bibliothèque utilisée par Alpine comme alternative à libc. Pour être exposée dans le scénario décrit, l’installation d’OpenSSH utilisant musl doit fonctionner sans PAM, le mécanisme chargé de contrôles d’authentification et d’accès aux comptes. La seule présence d’Alpine ou d’un service SSH accessible ne suffit donc pas à établir qu’une machine est vulnérable.
D’autres prérequis concernent les comptes locaux. Le système doit notamment comporter un compte accessible dont le mot de passe est haché avec SHA256 ou SHA512. Le compte ciblé doit, lui, présenter un astérisque dans le champ du mot de passe du fichier /etc/shadow, configuration décrite dans l’article comme courante pour certains comptes utilisant une authentification par certificat. Checkpoint précise que le compte fournissant le hachage doit être actif.
Lorsque ces conditions sont réunies, les conséquences peuvent être importantes. Selon les mainteneurs d’Alpine cités par Ars Technica, un attaquant capable d’atteindre le port SSH peut se connecter sans connaître le mot de passe. Checkpoint indique que le réglage par défaut PermitRootLogin prohibit password protège les connexions directes au compte root dans ce scénario. Un compte accessible disposant de droits sudo ou doas peut toutefois permettre d’obtenir ensuite ces privilèges.
Le périmètre au-delà d’Alpine demeure incertain. D’autres distributions pourraient être concernées si elles utilisent la même configuration. La personne à l’origine de la découverte cite aussi OpenWRT, buildroot et yocto, mais l’article souligne que certaines de ces attributions restent à confirmer. OpenWRT utilise par défaut Dropbear plutôt qu’OpenSSH, une distinction déterminante pour apprécier son exposition.
La responsabilité technique fait également débat entre OpenSSH et musl. Ce désaccord ne change pas la priorité pratique : identifier les machines associant musl et OpenSSH, vérifier les conditions d’exposition et appliquer les correctifs aux systèmes concernés. L’analyse doit porter sur la configuration réelle de chaque installation ; les informations disponibles ne permettent pas de chiffrer le nombre de machines effectivement vulnérables.