Alpine Linux OpenSSH 패스워드 인증 우회 취약점
원제: Alpine Linux Security Advisory: OpenSSH-server password authentication bypass
왜 중요한가
패스워드 없이 단 1회 연결로 원격 로그인이 가능한 취약점은 서버 전체 장악으로 이어질 수 있어, Alpine 기반 인프라 운영자의 즉각적인 대응이 필요하다.
Alpine Linux는 2026년 11월 5일, openssh-server에서 공격자가 패스워드 없이 SSH 계정에 로그인할 수 있는 취약점을 공식 보안 권고문으로 발표했다. 단 1회 연결로 100% 재현 가능하며, Alpine 3.16~3.24 및 edge 전 버전이 영향을 받는다. CVE 번호는 아직 미부여 상태다.
이번 취약점의 핵심은 간단하다. 공격자가 SSH 포트에 접근할 수 있고, 대상 시스템에 패스워드 필드가 `*`인 계정(키 전용 계정)과 `$5$` 또는 `$6$` 해시 형식의 패스워드를 가진 계정이 각각 하나씩 존재하면, 257~1024바이트 길이의 임의 문자열을 패스워드로 전송하는 것만으로 로그인이 성공한다. 재시도 없이 단 1회 연결로 완전히 재현된다.
영향을 받는 조건은 세 가지가 동시에 성립해야 한다. PAM 없이 빌드된 `openssh-server` 패키지(또는 `UsePAM no` 설정의 `openssh-server-pam`)를 사용하고, `PasswordAuthentication yes`(OpenSSH 기본값)가 설정되어 있으며, `*` 패스워드 필드를 가진 계정이 존재해야 한다. Alpine 3.16 이후 기본 이미지의 `root` 계정이 `root:*` 형태로 출하되기 때문에 사실상 대부분의 Alpine 설치본이 잠재적 위험에 노출되어 있다. `musl-nscd`를 통한 디렉터리 서비스 계정, 패스워드 없이 생성된 `adduser` 계정 등도 취약한 계정 유형에 포함된다. 단, `PasswordAuthentication no` 설정 시스템, `UsePAM yes`인 `openssh-server-pam`, `cloud-init`으로 구성된 클라우드 이미지, 패스워드 필드가 `!`인 잠긴 계정은 영향을 받지 않는다.
수정 패키지는 Alpine 3.21.10, 3.22.8, 3.23.8, 3.24.4에 포함됐으며, edge는 OpenSSH 10.6_p2-r0, 3.21은 9.9_p2-r1 등 각 브랜치별 버전이 배포됐다. 패키지 업그레이드(`apk upgrade -U -a`) 후 반드시 `rc-service sshd restart`로 실행 중인 데몬을 재시작해야 한다. 즉시 업데이트가 불가능한 경우 `PasswordAuthentication no` 설정 후 sshd를 재시작하는 것으로 취약점을 차단할 수 있다.