Une faille OpenSSH critique permet de contourner l'authentification SSH sur Alpine Linux ; la version 10.6p2 la corrige.

Une nouvelle faille OpenSSH inquiète les administrateurs de serveurs Alpine Linux. En effet, elle permet à un attaquant de se connecter à des comptes dépourvus de mot de passe. Ainsi, les comptes protégés uniquement par clé SSH sont concernés. Le projet OpenSSH juge la vulnérabilité critique. C’est pourquoi il a publié en urgence la version 10.6p2 pour la bloquer.

Une faille OpenSSH critique sur Alpine Linux

Le problème touche certains serveurs Alpine Linux. Ils doivent exécuter le paquet standard openssh-server. Dans ce cas, l’authentification par mot de passe peut être contournée.

Le scénario est particulièrement inquiétant. En effet, de nombreux administrateurs désactivent les mots de passe et n’autorisent que les clés SSH. Ils considèrent cette configuration comme plus sûre. Or, ici, un compte sans mot de passe peut devenir accessible à un tiers.

Par ailleurs, l’attaque ne nécessite pas d’accès privilégié préalable. Un accès réseau au serveur suffit. De plus, l’attaquant doit simplement connaître un nom de compte valide. Ces noms sont souvent faciles à deviner, par exemple root, admin ou git.

Quelles conditions pour une attaque ?

Trois éléments sont nécessaires pour exploiter la vulnérabilité. Heureusement, ils restent assez précis.

• Un accès réseau au serveur SSH visé.
• Le nom d’un compte existant sur la machine.
• Un mot de passe dont la longueur est comprise entre 257 et 1 024 octets.

Ce dernier point est le plus surprenant. En effet, un mot de passe normal ne dépasse presque jamais 256 octets. En revanche, une chaîne volontairement très longue déclenche le comportement anormal. Autrement dit, c’est la taille de la saisie qui fait basculer le contrôle d’authentification.

Les informations disponibles ne détaillent pas la cause technique exacte. De même, aucun identifiant CVE n’avait été communiqué au moment de la rédaction. Il faudra donc suivre les avis officiels pour en savoir plus.

Qui doit se sentir concerné ?

Tous les serveurs ne sont pas visés. Le périmètre décrit se limite à Alpine Linux avec le paquet openssh-server standard. Cependant, cette distribution est très répandue dans les conteneurs et les environnements légers. Les équipes DevOps doivent donc vérifier leurs images et leurs machines.

Les serveurs exposés directement sur Internet sont les plus à risque. En effet, n’importe quel acteur malveillant peut les atteindre. Les systèmes accessibles uniquement via un réseau interne le sont moins. Toutefois, ils ne sont pas à l’abri. Un attaquant déjà présent sur le réseau pourrait exploiter la faille pour se déplacer latéralement.

Comment corriger la faille OpenSSH ?

La correction est disponible. OpenSSH a publié la version 10.6p2 pour bloquer l’attaque. De son côté, Alpine a mis en ligne des paquets corrigés. Il n’est donc pas nécessaire de compiler le logiciel soi-même.

D’abord, identifiez les machines Alpine qui utilisent openssh-server. Ensuite, mettez à jour le paquet avec le gestionnaire du système. Par exemple :

1. Actualisez l’index des paquets avec apk update.
2. Mettez à niveau le paquet avec apk upgrade openssh-server.
3. Redémarrez le service SSH pour appliquer la correction.
4. Vérifiez la version installée.

Pensez aussi aux images de conteneurs. En effet, une image construite avant la correction conserve le paquet vulnérable. Il faut donc la reconstruire, puis la redéployer. Enfin, contrôlez que vos registres internes ne distribuent plus d’anciennes versions.

Réduire l’exposition en attendant

Si la mise à jour doit attendre, limitez l’exposition du service. Un pare-feu qui restreint l’accès SSH à quelques adresses IP de confiance réduit fortement le risque. De plus, un bastion ou un VPN placé devant les serveurs ajoute une barrière utile.

Par ailleurs, examinez les journaux d’authentification. Des tentatives répétées avec des mots de passe très longs sont suspectes. Elles peuvent révéler qu’un attaquant teste déjà la faille. Dans ce cas, vérifiez aussi les connexions réussies sur les comptes sans mot de passe.

Ce qu’il faut retenir

• La vulnérabilité touche Alpine Linux avec le paquet standard openssh-server.
• Elle permet de se connecter à des comptes sans mot de passe, comme ceux protégés par clé SSH seule.
• L’attaque exige un accès réseau, un nom de compte et un mot de passe de 257 à 1 024 octets.
• OpenSSH classe la faille comme critique et publie la version 10.6p2.
• Alpine propose des paquets corrigés : appliquez-les sans attendre.
• Reconstruisez vos images de conteneurs et limitez l’accès SSH aux adresses de confiance.
• Surveillez vos journaux pour repérer d’éventuelles tentatives antérieures.

Cet épisode rappelle qu’une configuration par clé seule ne suffit pas toujours. Par conséquent, la mise à jour rapide des composants d’authentification reste indispensable.

Source : OpenSSH Issues Emergency Fix for Flaw Letting Long Passwords Bypass SSH Auth on Alpine Linux