OpenSSH blocca il bypass delle password su Linux con musl e accelera le patch

OpenSSH 10.6p2, uscito il 5 novembre, blocca una falla critica che permette di entrare senza conoscere la password su alcuni sistemi Linux, fra cui Alpine. Sono coinvolti i server che usano musl, una libreria C di base del sistema, e verificano le password senza passare da PAM, il servizio che può gestire l’autenticazione. I sistemi con glibc o con PAM attivo non sono interessati.

Su Alpine, una password molto lunga può far restituire un asterisco alla funzione che ne calcola l’hash: è un segnale d’errore, ma può coincidere con il valore salvato per un account senza password. Il confronto accetta così l’errore come verifica riuscita. Occorre anche un altro account con una password memorizzata nei formati $5$ o $6$. In queste condizioni può essere esposto anche un utente normalmente raggiunto soltanto con una chiave, se il server ammette ancora l’autenticazione con password.

Alpine ha distribuito pacchetti corretti anche per vecchi rami fino alla 3.16. Dopo l’aggiornamento va riavviato sshd: installare il pacchetto non sostituisce il processo già in esecuzione. Per chi non può aggiornare subito, il progetto indica di verificare prima l’accesso con chiave, impostare PasswordAuthentication no e riavviare il servizio con la nuova configurazione.

Il rilascio cambia anche il ritmo di OpenSSH. Damien Miller racconta che il team ha saputo del problema il giorno prima; dopo aver visto altri bug riscoperti indipendentemente da agenti AI, talvolta nel giro di ore, considera pericolosi gli embarghi lunghi. Il progetto distribuirà le correzioni più spesso, senza accumularle fino al rilascio programmato. Nelle segnalazioni pubbliche sulle falle del kernel Linux avevamo visto dettagli divulgati prima che le patch arrivassero agli utenti. Qui OpenSSH interviene sull’altro lato dell’attesa: portare prima la protezione sui sistemi.