ВЫПУСК ОТ 6 НОЯБРЯ 2026 Г.
Уязвимость аутентификации SSH затрагивает некоторые конфигурации Linux
Ars Technica описывает уязвимость, позволяющую входить без пароля в некоторых конфигурациях, сочетающих OpenSSH и musl, в частности в Alpine Linux. Исправления доступны, однако круг затронутых систем остаётся частично неопределённым и зависит от нескольких конкретных условий.
Правовое уведомление: этот материал создан системой искусственного интеллекта. Редакционная прозрачность
Уязвимость в некоторых конфигурациях, сочетающих OpenSSH и musl, может позволить войти в систему без пароля. Выпуск исправлений Alpine и OpenSSH делает проверку установок приоритетной задачей. Однако риск зависит от нескольких параметров аутентификации: наличия сервиса SSH недостаточно, чтобы сделать вывод о подверженности угрозе.
Некоторые конфигурации Linux позволяют злоумышленнику открыть сеанс SSH, не зная пароля, сообщает Ars Technica. Уязвимость, которую обнаруживший её человек назвал *sshole, затрагивает, в частности, Alpine Linux при сочетании нескольких технических условий. Alpine и OpenSSH выпустили обновления. Наличие этих исправлений позволяет администраторам затронутых систем принять меры уже сейчас, хотя точный масштаб проблемы ещё предстоит установить.
Проблема возникает при взаимодействии OpenSSH и musl — библиотеки, которую Alpine использует как альтернативу libc. Чтобы описанный сценарий представлял угрозу, установка OpenSSH, использующая musl, должна работать без PAM — механизма, отвечающего за проверки аутентификации и доступа к учётным записям. Таким образом, одного лишь наличия Alpine или доступного сервиса SSH недостаточно, чтобы признать машину уязвимой.
Другие необходимые условия касаются локальных учётных записей. В частности, в системе должна быть доступная учётная запись, пароль которой хеширован с помощью SHA256 или SHA512. При этом у целевой учётной записи в поле пароля файла /etc/shadow должна стоять звёздочка. В статье такая конфигурация описывается как распространённая для некоторых учётных записей с аутентификацией по сертификату. Checkpoint уточняет, что учётная запись, предоставляющая хеш, должна быть активной.
При сочетании этих условий последствия могут быть серьёзными. По словам сопровождающих Alpine, которых цитирует Ars Technica, злоумышленник, имеющий доступ к порту SSH, может войти в систему, не зная пароля. Checkpoint указывает, что настройка по умолчанию PermitRootLogin prohibit password защищает от прямого входа в учётную запись root в этом сценарии. Однако доступная учётная запись с правами sudo или doas может позволить впоследствии получить эти привилегии.
Масштаб проблемы за пределами Alpine остаётся неопределённым. Другие дистрибутивы могут быть затронуты, если используют ту же конфигурацию. Человек, обнаруживший уязвимость, также называет OpenWRT, buildroot и yocto, однако в статье подчёркивается, что некоторые из этих утверждений ещё требуют подтверждения. OpenWRT по умолчанию использует Dropbear вместо OpenSSH — это различие имеет решающее значение для оценки его подверженности угрозе.
Между OpenSSH и musl также идёт спор о технической ответственности за проблему. Эти разногласия не меняют практического приоритета: выявить машины, на которых сочетаются musl и OpenSSH, проверить условия подверженности угрозе и установить исправления на затронутые системы. Анализ должен учитывать фактическую конфигурацию каждой установки; имеющиеся сведения не позволяют определить число действительно уязвимых машин.