Alpine Linux: Bypass Autentikasi SSH Tanpa Password
Judul asli: Alpine Linux Security Advisory: OpenSSH-server password authentication bypass
Mengapa Ini Penting
Celah bypass SSH tanpa password di semua rilis Alpine aktif mengancam ribuan server produksi.
Alpine Linux merilis advisory keamanan pada 5 November 2026: celah di openssh-server memungkinkan penyerang masuk ke sistem SSH tanpa mengetahui password sama sekali.
Celah ini serius: satu koneksi sudah cukup, selalu berhasil, dan tidak butuh percobaan ulang. Penyerang hanya perlu mengetahui nama akun yang kolom passwordnya berisi tanda bintang (*) — umum untuk akun key-only — plus memastikan ada minimal satu akun lain di mesin tersebut dengan hash password tipe $5$ atau $6$. Setelah itu, penyerang mengirim password sepanjang 257 hingga 1.024 byte untuk menembus autentikasi.
Semua rilis Alpine yang diuji terdampak, mulai dari versi 3.16 hingga 3.24 dan edge. Akun root di base image Alpine juga masuk kategori rentan sejak sekitar versi 3.16, meski dilindungi oleh PermitRootLogin prohibit-password secara default. Pengguna yang dibuat via adduser tanpa password, serta pengguna dari directory service melalui musl-nscd, turut berisiko.
Sistem yang tidak terdampak antara lain pengguna Docker yang tidak menjalankan sshd di dalam container, sistem dengan PasswordAuthentication no, serta openssh-server-pam yang menggunakan UsePAM yes. Perbaikan tersedia di Alpine 3.21.10, 3.22.8, 3.23.8, dan 3.24.4. Pengguna wajib merestart sshd setelah update karena upgrade paket saja tidak mengganti daemon yang sedang berjalan. Jika belum bisa update, nonaktifkan PasswordAuthentication segera. Belum ada CVE yang ditetapkan saat advisory ini diterbitkan.