Une faille OpenSSH : un mot de passe >256 caractères ouvre l’accès à Alpine Linux

L'essentiel en 3 points

• Un mot de passe aléatoire de plus de 256 caractères pouvait contourner l’authentification SSH sur certains serveurs Alpine Linux.
• La faille concernait OpenSSH et a été corrigée rapidement par les équipes d’OpenSSH et d’Alpine.
• Mettez à jour vos paquets OpenSSH/Alpine dès que possible pour vous protéger.

Ce qui se passe

Des chercheurs ont découvert une anomalie dans le code d’OpenSSH. Lorsqu’un utilisateur saisissait un mot de passe d’au moins 256 caractères, le serveur Alpine Linux acceptait la connexion même si le compte n’avait aucun mot de passe configuré. En pratique, un pirate pouvait lancer une première tentative de connexion SSH, entrer une chaîne aléatoire très longue, et obtenir immédiatement un accès à la machine.

Pourquoi c'est important

SSH est le principal moyen d’administrer à distance les serveurs Linux. Une porte dérobée qui ne nécessite aucune connaissance du mot de passe expose les serveurs à des prises de contrôle complètes. La vulnérabilité touchait « certains serveurs Alpine Linux », c’est-à-dire des machines qui utilisent cette distribution légère, très répandée dans les environnements cloud et les conteneurs. Si la faille était exploitée, un attaquant pouvait installer des logiciels malveillants, voler des données ou perturber des services critiques.

Ce que ça change pour vous

• Pour les administrateurs : si vous gérez des serveurs Alpine, vérifiez que le correctif a bien été appliqué. Sans mise à jour, vos machines restent vulnérables.
• Pour les développeurs : les environnements de test ou de CI/CD qui utilisent Alpine doivent être revus afin d’éviter toute compromission.
• Pour les utilisateurs finaux : la faille n’affecte pas directement les ordinateurs personnels, mais elle peut impacter les services en ligne que vous utilisez si ceux-ci reposent sur des serveurs Alpine non corrigés.

Ce qu'il faut faire

1. Mettre à jour OpenSSH : utilisez le gestionnaire de paquets de votre distribution (apk, apt, yum…) pour installer la dernière version d’OpenSSH. Les équipes d’OpenSSH ont publié un correctif en urgence.
2. Mettre à jour Alpine Linux : appliquez les mises à jour de sécurité proposées par le projet Alpine. Elles intègrent le correctif du composant SSH.
3. Vérifier la version : après mise à jour, assurez-vous que la version d’OpenSSH affichée avec ssh -V correspond à celle mentionnée dans les bulletins de sécurité.
4. Surveiller les logs : cherchez des tentatives de connexion avec des mots de passe très longs (plus de 256 caractères). Une activité suspecte peut indiquer une tentative d’exploitation.
5. Suivre les annonces officielles : consultez les sites de sécurité d’OpenSSH et d’Alpine Linux pour rester informé des futures mises à jour.

Ce qu'on ne sait pas encore

• Le nombre exact de serveurs Alpine Linux exposés à cette faille n’est pas précisé dans les dépêches.
• On ne connaît pas encore l’éventuel impact réel sur des services en production qui n’auraient pas appliqué le correctif.
• Les chercheurs n’ont pas indiqué si d’autres distributions Linux pourraient être affectées par un problème similaire.

Ce qu'on ne sait pas encore