Aller au contenu
Centoculus

Alerte de sécurité · Critique

OpenSSH sur Alpine Linux : connexion sans mot de passe via des mots de passe trop longs

· 3 minutes de lecture · Centoculus Security Team

Connue depuis le

Concernés: OpenSSH (paquet openssh-server) sur Alpine Linux avant OpenSSH 10.6p2 / paquets Alpine corrigés

Ce qui s'est passé

Le 5 novembre 2026, le projet OpenSSH a publié OpenSSH 10.6p2 en correctif d'urgence pour un contournement critique de l'authentification qui touche Alpine Linux. Sur les serveurs Alpine utilisant le paquet standard openssh-server, un attaquant peut se connecter à des comptes qui n'ont pas de mot de passe défini, par exemple des comptes destinés uniquement à une authentification par clés SSH.

L'attaquant a seulement besoin d'un nom de compte valide et d'un mot de passe de 257 à 1 024 octets. OpenSSH 10.6p2 bloque cette attaque, et Alpine a publié des paquets corrigés. Aucune exploitation active n'a été signalée à ce jour, mais les conditions d'une attaque sont simples, il faut donc s'attendre à des tentatives prochainement.

Systèmes concernés

  • Les serveurs et machines virtuelles Alpine Linux exécutant le paquet standard openssh-server qui n'ont pas été mis à jour depuis le correctif.
  • Les conteneurs et images basés sur Alpine qui incluent et exécutent sshd.
  • Tout compte sans mot de passe peut être une cible, y compris les comptes réservés aux clés. L'attaquant doit connaître ou deviner le nom du compte : les noms courants comme root, admin, ou les comptes de déploiement ou de sauvegarde sont donc les plus exposés.

Les rapports sur ce problème ne mentionnent pas d'autres distributions comme étant concernées.

Que faire maintenant

  1. Repérez tous les systèmes Alpine qui exécutent un serveur SSH : cat /etc/alpine-release et apk info -e openssh-server.
  2. Gardez ouverte une session SSH existante comme solution de secours pendant la mise à jour.
  3. Mettez à jour l'index des paquets et OpenSSH : apk update && apk upgrade openssh openssh-server.
  4. Redémarrez le démon SSH pour utiliser la version corrigée : rc-service sshd restart.
  5. Ouvrez une seconde session SSH, nouvelle, pour vérifier que vous pouvez toujours vous connecter avant de fermer l'ancienne.
  6. Pour les images de conteneurs basées sur Alpine qui exécutent sshd, reconstruisez les images à partir d'une base mise à jour puis redéployez les conteneurs. La simple mise à jour d'un conteneur en cours d'exécution sera perdue au prochain redéploiement.
  7. Tant que tous les systèmes ne sont pas mis à jour, limitez l'accès au port 22 à l'aide d'un pare-feu ou d'un groupe de sécurité, en n'autorisant que les adresses IP connues des administrateurs.

Pour les versions exactes des paquets Alpine corrigés, consultez les avis de sécurité d'Alpine et d'OpenSSH mentionnés ci-dessous.

Comment vérifier si vous êtes concerné

  • Vérifiez la version installée avec apk info -v openssh-server et ssh -V, puis comparez-la aux paquets corrigés indiqués dans les avis ci-dessous. Les systèmes non mis à jour depuis le 5 novembre 2026 doivent être considérés comme vulnérables.
  • Confirmez que le sshd en cours d'exécution a été redémarré après la mise à jour, par exemple en vérifiant l'heure de démarrage du processus avec ps -o pid,etime,args | grep sshd.
  • Examinez vos journaux SSH (sur Alpine, généralement /var/log/messages ou /var/log/auth.log, selon votre configuration syslog) à la recherche d'entrées Accepted password for concernant des comptes qui ne devraient se connecter qu'avec des clés. De telles entrées sur des comptes réservés aux clés sont un signe fort de compromission.
  • Recherchez les connexions inattendues, les nouvelles entrées dans ~/.ssh/authorized_keys, les nouveaux comptes utilisateurs ou les tâches cron inconnues sur les systèmes accessibles depuis Internet. Si vous constatez des signes d'utilisation abusive, isolez le système et reconstruisez-le à partir d'une source de confiance plutôt que de le nettoyer sur place.

Sources

Autres sources (1)