OpenSSH auf Alpine Linux: Anmeldung ohne Passwort durch überlange Passwörter

Was passiert ist

Am 5. November 2026 hat das OpenSSH-Projekt OpenSSH 10.6p2 als Notfallkorrektur für eine kritische Authentifizierungsumgehung veröffentlicht, die Alpine Linux betrifft. Auf Alpine-Servern, die das Standardpaket openssh-server verwenden, kann ein Angreifer sich bei Konten anmelden, für die kein Passwort gesetzt ist, zum Beispiel bei Konten, die nur mit SSH-Schlüsseln genutzt werden sollen.

Dem Angreifer genügt ein gültiger Kontoname und ein Passwort mit einer Länge von 257 bis 1.024 Byte. OpenSSH 10.6p2 blockiert dies, und Alpine hat korrigierte Pakete veröffentlicht. Bisher gibt es keine Berichte über aktive Ausnutzung. Da die Voraussetzungen für einen Angriff einfach sind, sollten Sie jedoch bald mit Angriffsversuchen rechnen.

Wer betroffen ist

• Alpine-Linux-Server und virtuelle Maschinen, auf denen das Standardpaket openssh-server läuft und das seit der Korrektur nicht aktualisiert wurde.
• Auf Alpine basierende Container und Images, die sshd enthalten und ausführen.
• Jedes Konto ohne Passwort kann ein Ziel sein, auch Konten, die nur mit Schlüsseln genutzt werden. Angreifer müssen den Kontonamen kennen oder erraten, daher sind gängige Namen wie root, admin, Deployment- oder Backup-Benutzer am stärksten gefährdet.

Andere Distributionen werden in den Berichten zu diesem Problem nicht als betroffen genannt.

Was Sie jetzt tun sollten

1. Ermitteln Sie alle Alpine-Systeme, auf denen ein SSH-Server läuft: cat /etc/alpine-release und apk info -e openssh-server.
2. Halten Sie während der Aktualisierung eine bestehende SSH-Sitzung als Rückfallebene offen.
3. Aktualisieren Sie den Paketindex und OpenSSH: apk update && apk upgrade openssh openssh-server.
4. Starten Sie den SSH-Dienst neu, damit die korrigierte Version verwendet wird: rc-service sshd restart.
5. Öffnen Sie eine zweite, neue SSH-Sitzung und prüfen Sie, ob die Anmeldung weiterhin funktioniert, bevor Sie die alte Sitzung schließen.
6. Bauen Sie bei auf Alpine basierenden Container-Images, die sshd ausführen, die Images auf einer aktualisierten Basis neu und stellen Sie die Container erneut bereit. Die Aktualisierung eines laufenden Containers allein geht beim nächsten Redeployment verloren.
7. Schränken Sie den Zugriff auf Port 22 bis zur vollständigen Aktualisierung aller Systeme über eine Firewall oder Sicherheitsgruppe auf bekannte IP-Adressen der Administratoren ein.

Die genauen korrigierten Alpine-Paketversionen entnehmen Sie bitte den unten verlinkten Hinweisen von Alpine und OpenSSH.

So prüfen Sie, ob Sie betroffen sind

• Prüfen Sie die installierte Version mit apk info -v openssh-server und ssh -V und vergleichen Sie sie mit den korrigierten Paketen aus den unten verlinkten Hinweisen. Systeme, die seit dem 5. November 2026 nicht aktualisiert wurden, sollten als verwundbar gelten.
• Vergewissern Sie sich, dass der laufende sshd nach der Aktualisierung neu gestartet wurde, zum Beispiel durch die Prüfung der Prozessstartzeit mit ps -o pid,etime,args | grep sshd.
• Sehen Sie Ihre SSH-Protokolle durch (auf Alpine meist /var/log/messages oder /var/log/auth.log, je nach Syslog-Konfiguration) und suchen Sie nach Accepted password for-Einträgen für Konten, die sich ausschließlich mit Schlüsseln anmelden sollten. Solche Einträge bei schlüsselbasierten Konten sind ein deutlicher Hinweis auf eine Kompromittierung.
• Achten Sie auf unerwartete Anmeldungen, neue Einträge in ~/.ssh/authorized_keys, neue Benutzerkonten oder unbekannte Cron-Jobs auf Systemen, die aus dem Internet erreichbar waren. Falls Sie Anzeichen für Missbrauch finden, isolieren Sie das System und installieren Sie es aus einer vertrauenswürdigen Quelle neu, anstatt es vor Ort zu bereinigen.

Quellen

• https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html
• https://www.heise.de/news/OpenSSH-und-Alpine-Linux-warnt-vor-nischigem-aber-gravierendem-Bug-11513105.html