Kritisk OpenSSH-fejl kan give adgang til Alpine Linux-servere
OpenSSH har udsendt en hasteopdatering til en kritisk sårbarhed, som i visse tilfælde kan give angribere adgang til Alpine Linux-servere via SSH. Historien blev først beskrevet af The Hacker News.
Sårbarheden påvirker bestemte konfigurationer af Alpine Linux, hvor OpenSSH anvendes uden PAM-understøttelse, og hvor adgangskodebaseret login er aktiveret. Under disse forhold kan en angriber udnytte en fejl i samspillet mellem OpenSSH og Alpine Linux' underliggende systembiblioteker til at logge ind på konti, som ikke har en adgangskode sat.
Kan ramme nøglebaserede konti
Ifølge OpenSSH kan fejlen blandt andet påvirke såkaldte key-only konti, der normalt kun skal kunne tilgås ved hjælp af SSH-nøgler. Angriberen skal kende brugernavnet på en eksisterende konto og have netværksforbindelse til den udsatte server, men behøver ikke kende en gyldig adgangskode.
Alpine Linux er særligt eksponeret, fordi distributionens standardudgave af OpenSSH er bygget uden PAM, samtidig med at adgangskodebaseret SSH-login er aktiveret som standard. Fejlen kan desuden have betydning for andre musl-baserede Linux-miljøer, hvis de benytter tilsvarende OpenSSH-konfigurationer.
Ingen kendte angreb
Der er på nuværende tidspunkt ingen offentligt kendte tilfælde, hvor sårbarheden er blevet udnyttet. OpenSSH vurderer dog fejlen som så alvorlig, at projektet har udsendt version 10.6p2 som en hasteopdatering.
Udviklerne anbefaler, at administratorer af berørte systemer enten opdaterer straks eller midlertidigt deaktiverer adgangskodebaseret SSH-login, indtil opdateringen kan installeres.
Alpine Linux har samtidig gjort rettede pakker tilgængelige for alle understøttede versioner og har også udsendt sikkerhedsrettelser til flere ældre udgaver af distributionen.
Hurtig reaktion fra OpenSSH
Ifølge The Hacker News blev sårbarheden rapporteret tidligere på ugen, og OpenSSH-teamet udsendte en rettelse dagen efter. Projektet fremhæver, at man i stigende grad foretrækker hurtige offentliggørelser og hurtige rettelser frem for længere fortrolige forløb, blandt andet fordi nye analyseværktøjer gør det lettere og hurtigere at identificere sikkerhedsfejl.
Der var endnu ikke tildelt et CVE-nummer til sårbarheden, da rettelsen blev offentliggjort.