OpenSSH: עקיפת סיסמה במערכות musl

OpenSSH: ניתן לעקוף אימות בסיסמה במערכות Linux עם musl ללא PAM, מזהיר CERT-FR

גבוהה Linux OpenSSH Alpine Linux Docker

מעקב הסייבר של Top-Secured: ניתוח עצמאי המבוסס על המקורות המפורטים בהמשך. Top-Secured אינה קשורה לחברות המוזכרות ולעולם לא תבקש מכם פרטי בנק או סיסמאות.

‏OpenSSH פרסמה ב-5 בנובמבר 2026 את גרסה 10.6p2 כדי לסגור עקיפה של אימות בסיסמה ב-sshd, הפוגעת במערכות Linux המבוססות על ספריית C ‏musl ללא PAM, כמו שרתים ומכולות Alpine רבים. ‏CERT-FR פרסם התרעה באותו יום וקבע שהניצול פשוט כאשר התנאים מתקיימים.

מה קרה

ב-5 בנובמבר 2026 פרסם פרויקט OpenSSH את הגרסה הניידת OpenSSH 10.6p2, המתקנת עקיפה של אימות בסיסמה שניתן לנצל דרך sshd. לפי הערות הגרסה, שורש הבעיה נמצא מחוץ ל-OpenSSH, אך sshd שונה כדי להימנע ממנה. באותו יום פרסם CERT-FR את ההתרעה CERTFR-2026-ALE-015: כל הגרסאות שלפני 10.6p2 מושפעות, והניצול מוגדר פשוט כאשר התנאים מתקיימים. לא צוין מזהה CVE, ואף אחד משני המקורות אינו מדווח על תקיפות עד כה.

מי מושפע

רק מערכות Linux המשתמשות בספריית C ‏musl ומריצות sshd ללא PAM חשופות. לפי החוקר שגילה את הפגיעות, הפונקציה crypt() של musl נכשלת בסיסמאות ארוכות מ-256 בתים ומחזירה *, בדיוק הערך שמסמן ב-/etc/shadow חשבון ללא סיסמה שמישה. כך תוקף יכול להיכנס לחשבון כזה (משתמשים המתחברים במפתח בלבד, או root בגרסאות Alpine עדכניות, לפי החוקר) עם סיסמה ארוכה במיוחד, בתנאי שאימות בסיסמה פעיל. החוקר מונה את Alpine, ‏OpenWrt, ‏Buildroot, ‏Yocto ותמונות Docker המבוססות עליהן. הפצות המבוססות על glibc, תצורות עם PAM ו-Dropbear אינן מושפעות, לפי אותו ניתוח.

מה לעשות עכשיו

אתרו מערכות חשופות: ldd --version מציג musl בפלטפורמות המושפעות; בדקו את sshd -T | grep -Ei 'usepam|passwordauthentication'.
עדכנו: apk upgrade openssh, ואז ודאו ש-ssh -V מציג 10.6p2. בנו מחדש ופרסו מחדש תמונות מכולה הכוללות sshd.
אם העדכון חייב לחכות, השביתו התחברות בסיסמה עם PasswordAuthentication no בקובץ תחת /etc/ssh/sshd_config.d/ והפעילו מחדש את sshd (rc-service sshd restart). אחרת, CERT-FR ממליץ לעצור את שירות ה-SSH.
חפשו עקבות: הציגו את החשבונות ששדה הסיסמה שלהם הוא * (grep -E '^[^:]+:\*:' /etc/shadow | cut -d: -f1) וחפשו שורות Accepted password for הנוגעות להם ב-/var/log/messages, כפי שמציע CERT-FR.

הדעה שלנו

תמונות קלות נמצאות בכל מקום, במכולות ובמכשירים, והן יורשות את ברירות המחדל של מערכת הבסיס, כולל SSH ללא PAM. יש לאכוף אימות במפתח בלבד במפורש בתצורה ולא להניח אותו: עם PasswordAuthentication no הפגיעות הזו הייתה חסרת השפעה.