Alpine Linux में SSH बिना पासवर्ड लॉगिन का खतरा
मूल शीर्षक: Alpine Linux Security Advisory: OpenSSH-server password authentication bypass
यह क्यों महत्वपूर्ण है
यह खामी Alpine-आधारित server और cloud deployments को बिना किसी credential के खोल देती है।
Alpine Linux ने 5 नवंबर 2026 को OpenSSH-server में गंभीर सुरक्षा खामी की घोषणा की। बिना पासवर्ड जाने SSH पोर्ट से किसी भी खाते में लॉगिन संभव। Alpine 3.16 से 3.24 और edge सभी प्रभावित।
Alpine Linux ने OpenSSH-server में एक गंभीर सुरक्षा भेद्यता उजागर की है जिसमें कोई भी हमलावर बिना पासवर्ड जाने SSH के ज़रिए सिस्टम में प्रवेश कर सकता है। हमले की शर्तें सरल हैं — हमलावर को सिर्फ उस खाते का नाम चाहिए जिसका password field `*` हो (यानी key-only खाता), और सिस्टम पर कम से कम एक खाता ऐसा हो जिसमें `$5$` या `$6$` का password hash हो। फिर 257 से 1024 बाइट का लंबा पासवर्ड भेजने पर लॉगिन हो जाता है — हर बार, बिना retry के।
प्रभावित होने की तीन मुख्य शर्तें हैं: PAM के बिना बना `openssh-server` पैकेज चल रहा हो, `PasswordAuthentication yes` सेट हो, और सिस्टम पर कोई `*` password field वाला खाता हो। `root` खाता Alpine 3.16 से डिफ़ॉल्ट रूप से `root:*` के साथ आता है। `adduser` से बनाए गए key-only users, `musl-nscd` के ज़रिए directory service users, और official tiny-cloud images का `alpine` user भी खतरे में हैं।
लेखन के समय तक कोई CVE नंबर जारी नहीं हुआ था। Docker containers जिनमें sshd नहीं चलता, `PasswordAuthentication no` वाले सिस्टम, और `openssh-server-pam` जिसमें `UsePAM yes` हो — ये सभी सुरक्षित हैं।
समाधान के लिए `apk upgrade -U -a` चलाएं और फिर `rc-service sshd restart` करें। Fixed versions: edge में 10.6_p2-r0, 3.24 में 10.3_p1-r2, 3.21 में 9.9_p2-r1 आदि। अपडेट न कर सकें तो तुरंत `PasswordAuthentication no` सेट करें।