Alpine LinuxのOpenSSHに認証バイパス脆弱性
原題: Alpine Linux Security Advisory: OpenSSH-server password authentication bypass
なぜ重要か
パスワード認証がデフォルト有効なAlpineベースのサーバー・クラウドインスタンスが広く影響を受けるため、インフラ管理者は即時対応が必要。
Alpine Linuxは2026年11月5日、openssh-serverパッケージにパスワード認証を完全にバイパスできる脆弱性を発見したと発表した。攻撃者はSSHポートへの接続1回で、パスワードなしにログインが可能。Alpine 3.16から3.24およびedgeの全バージョンが影響を受け、修正済みパッケージへのアップデートとsshdの再起動が必要。CVE番号は発表時点で未割り当て。
Alpine Linuxのセキュリティチームが公表したアドバイザリによると、今回の脆弱性はPAMなしでビルドされたopenssh-serverパッケージ、またはUsePAM noで動作するopenssh-server-pamに存在する。攻撃の成立条件は、PasswordAuthenticationがyes（OpenSSHのデフォルト）であること、パスワードフィールドが「*」のアカウントが存在すること（パスワードなしのキー専用アカウントが該当）、かつ$5$または$6$形式のパスワードハッシュを持つアカウントが少なくとも1つあることの3点だ。
攻撃者はログイン対象アカウントの名前さえ知っていれば、257〜1024バイトの非常に長いパスワードを送るだけで認証を突破できる。リトライ不要で100%成功するという深刻度の高い欠陥だ。
影響を受ける構成として、Alpine 3.16以降のベースイメージに含まれるrootアカウント（パスワードフィールドが「*」）、adduser等でパスワードなしに作成されたキー専用ユーザー、musl-nscd経由のディレクトリサービスユーザー、公式tiny-cloudイメージのalpineユーザーが挙げられる。なお、PermitRootLoginがデフォルトのprohibit-passwordであればrootは直接到達できないが、doasなど別の経路でroot昇格が可能なアカウントがあれば実質的に危険だ。
影響を受けるリリースはAlpine 3.16〜3.24とedgeの全系列。一方、コンテナ内でsshdを起動しないDocker利用者、PasswordAuthentication noを設定済みのシステム、cloud-initで構成されたクラウドイメージは影響外となる。
修正済みパッケージはAlpine 3.21.10、3.22.8、3.23.8、3.24.4に含まれており、apk upgrade -U -a で更新できる。パッケージ更新だけでは実行中のsshdは置き換えられないため、必ずrc-service sshd restartを実行する必要がある。即時更新が困難な場合は、/etc/ssh/sshd_configでPasswordAuthentication noを設定してsshdを再起動することで回避可能。詳細はOpenSSH 10.6p2リリースノートに記載されている。