Alpine Linux : faille critique dans OpenSSH
Original : Alpine Linux Security Advisory: OpenSSH-server password authentication bypass
Pourquoi c'est important
Une authentification SSH bypassable sans mot de passe expose des serveurs en production à une compromission totale.
Une faille dans openssh-server d'Alpine Linux permet à un attaquant distant de se connecter sans mot de passe, en une seule tentative. Toutes les versions de 3.16 à 3.24 et edge sont touchées. Mise à jour immédiate requise.
Alpine Linux a publié le 5 novembre 2026 un avis de sécurité urgent concernant son paquet openssh-server. La faille est sévère : un attaquant ayant accès au port SSH peut s'authentifier sans connaître aucun mot de passe, en une seule connexion, sans retenter. Il lui suffit de connaître le nom d'un compte dont le champ mot de passe est « * » (compte sans mot de passe, typique des comptes à clé seule), et que la machine possède au moins un compte avec un hash de type $5$ ou $6$. L'envoi d'un mot de passe de 257 à 1024 octets suffit à déclencher le bypass.
Sont concernés les systèmes faisant tourner openssh-server sans PAM, ou openssh-server-pam avec UsePAM no, avec PasswordAuthentication yes (valeur par défaut) et au moins un compte au champ password « * ». Cela inclut root dans les images Alpine depuis la version 3.16, les utilisateurs créés sans mot de passe, et les utilisateurs issus de services d'annuaire via musl-nscd.
Les versions corrigées sont disponibles : Alpine 3.21.10, 3.22.8, 3.23.8 et 3.24.4. Après mise à jour via apk upgrade -U -a, il est impératif de redémarrer sshd (rc-service sshd restart), car le paquet seul ne remplace pas le démon en cours d'exécution. En cas d'impossibilité de mise à jour immédiate, désactiver PasswordAuthentication dans sshd_config ferme la brèche. Aucun CVE n'avait été attribué au moment de la publication.