Faille OpenSSH : un mot de passe de 256 caractères ouvre une session sur Alpine Linux

L'essentiel en 3 points

• Une faille d’OpenSSH autorise l’accès à un serveur Alpine Linux lorsqu’on saisit un mot de passe aléatoire d’au moins 256 caractères.
• La faille ne nécessite pas de connaître le mot de passe réel ; elle cible les comptes sans mot de passe configuré.
• Les équipes d’OpenSSH et du projet Alpine ont publié un correctif en urgence.

Ce qui se passe

Des chercheurs ont découvert que, sur certains serveurs exécutant Alpine Linux, OpenSSH accepte une première tentative de connexion SSH si l’utilisateur entre un mot de passe aléatoire d’une longueur supérieure à 256 caractères. Le serveur crée alors une session sur un compte qui n’a pas de mot de passe défini, ce qui donne un accès complet à l’attaquant.

Pourquoi c’est important

• Accès non autorisé : un compte sans mot de passe est censé être inaccessible. La faille contourne cette protection.
• Portée : la vulnérabilité concerne « certains serveurs Alpine Linux », sans précision du nombre exact.
• Urgence : la possibilité d’une prise de contrôle dès la première tentative rend la faille particulièrement dangereuse.

Ce que ça change pour vous

• Administrateurs de serveurs Alpine : si vous gérez des serveurs sous Alpine Linux, vous devez vérifier que le correctif a bien été appliqué.
• Utilisateurs de services hébergés : les fournisseurs qui utilisent Alpine Linux doivent mettre à jour leurs images serveur pour éviter tout accès non autorisé.
• Développeurs : les projets qui intègrent OpenSSH doivent s’assurer que la version corrigée est déployée.

Ce qu’il faut faire

1. Mettre à jour OpenSSH : installez la version corrigée fournie par les mainteneurs d’OpenSSH.
2. Mettre à jour Alpine Linux : appliquez les mises à jour de sécurité publiées par le projet Alpine.
3. Vérifier les comptes sans mot de passe : désactivez ou sécurisez tout compte qui n’a pas de mot de passe.
4. Surveiller les logs SSH : cherchez des tentatives de connexion avec des mots de passe très longs (≥256 caractères).
5. Consulter les bulletins de sécurité : suivez les annonces officielles sur les sites d’OpenSSH et d’Alpine Linux.

Ce qu’on ne sait pas encore

• Le nombre exact de serveurs Alpine Linux affectés par cette faille n’est pas précisé dans les dépêches.
• Aucun incident public n’a été signalé jusqu’à présent, mais la situation reste à surveiller.
• Les éventuelles variantes de la faille sur d’autres distributions Linux ne sont pas mentionnées.