W konfiguracjach Alpine Linux wykryto lukę umożliwiającą logowanie SSH bez hasła — Ars Technica

W niektórych konfiguracjach Alpine Linux wykryto dziesięcioletnią lukę nazwaną sshole, która może umożliwić zdalne logowanie przez SSH bez znajomości hasła. Jak informuje Ars Technica, problem wynika ze współdziałania OpenSSH z biblioteką musl, której Alpine używa zamiast bardziej rozpowszechnionej libc.

Aby wykorzystać OpenSSH działające z musl, musi ono być również skonfigurowane bez PAM, mechanizmu modułów do uwierzytelniania i sprawdzania dostępu do kont. Inne dystrybucje Linuksa również mogą być potencjalnie podatne, jeśli używają takich samych konfiguracji.

Warunki ataku

Luka, którą jej odkrywca nazwał sshole, nie dotyczy wszystkich urządzeń z Alpine Linux. Do przeprowadzenia ataku system musi mieć co najmniej jedno aktywne konto z hasłem zahaszowanym za pomocą SHA256 lub SHA512. Jednocześnie konto docelowe musi być skonfigurowane bez hasła: pole hasła w pliku /etc/shadow musi zawierać pustą wartość.

W takich warunkach atakujący, który może połączyć się z portem SSH urządzenia, jest w stanie zalogować się na konto bez hasła, wpisując w polu hasła ponad 256 znaków. Twórcy Alpine oświadczyli, że wystarczy jedno połączenie i nie są potrzebne ponowne próby.

Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.

Aktualizacje dla Alpine i OpenSSH

Firma Checkpoint zaznaczyła, że hashe SHA256 lub SHA512 są niezbędne do ataku, ponieważ proces sshd używa soli odpowiedniego konta. Badacze firmy poinformowali również, że konto to musi być aktywne. Konta root są chronione przy domyślnym ustawieniu PermitRootLogin prohibit-password, jednak dostępny użytkownik z uprawnieniami sudo lub doas może potencjalnie uzyskać uprawnienia roota.

Alpine jest szeroko stosowane w obrazach kontenerowych, routerach, telewizorach smart i sterownikach przemysłowych. Bazowy obraz Alpine w Docker Hub ma ponad 1 mld pobrań. Według Detectify Shodan wykazuje około 22 mln systemów z otwartym portem SSH 22, choć tylko część z nich spełnia warunki wykorzystania luki.

OpenSSH już wydało aktualizację, a Alpine również opublikowało poprawkę. Twórca musl Rich Felker uważa, że problem nie leży w samej bibliotece, lecz w nieprawidłowym wykorzystaniu mechanizmu przez aplikację; zmiany w musl planowane są w następnym wydaniu. Obecnie nie ma znanego identyfikatora CVE dla tej luki.