Vulnérabilité Alpine Linux : un mot de passe >256 caractères ouvre une session SSH

L'essentiel en 3 points

• Une faille d’OpenSSH laissait entrer un pirate sur un serveur Alpine Linux dès qu’il saisissait un mot de passe aléatoire d’au moins 256 caractères.
• Le compte ciblé n’avait aucun mot de passe, ce qui rendait la vulnérabilité exploitable en une seule tentative.
• Un correctif a été publié immédiatement par les équipes d’OpenSSH et d’Alpine Linux.

Ce qui se passe

Des chercheurs ont découvert une anomalie dans le protocole SSH utilisé par la plupart des serveurs Linux. Sur les systèmes Alpine Linux, si un compte n’a pas de mot de passe (login sans authentification), l’implémentation d’OpenSSH accepte une chaîne de caractères d’une longueur supérieure à 256 caractères comme mot de passe valide, même si ce mot de passe est généré aléatoirement. En pratique, un attaquant pouvait ouvrir une session SSH dès la première tentative, sans connaître le mot de passe réel du compte.

Pourquoi c'est important

SSH (Secure Shell) est le moyen le plus répandu pour administrer à distance les serveurs. Une faille qui permet une connexion sans authentification compromet la confidentialité, l’intégrité et la disponibilité des systèmes. Les serveurs Alpine Linux sont souvent utilisés dans des environnements de conteneurs et de cloud, où la surface d’attaque est déjà élevée. Une exploitation réussie pouvait donner à un pirate un accès complet au serveur, avec toutes les permissions du compte compromis.

Ce que ça change pour vous

• Si vous gérez des serveurs Alpine Linux, la vulnérabilité pouvait être exploitée immédiatement, même si vous n’aviez jamais utilisé de mots de passe longs.
• Les serveurs non mis à jour restent exposés : un attaquant pourrait encore tenter la même technique.
• Les services qui reposent sur ces serveurs (sites web, bases de données, applications) pourraient être compromis sans que vous le remarquiez.

Ce qu'il faut faire

1. Mettre à jour OpenSSH et Alpine Linux : appliquez le correctif publié par les développeurs dès que possible via vos dépôts officiels (ex. apk upgrade openssh).
2. Vérifier les comptes sans mot de passe : assurez-vous que tous les comptes disposent d’une authentification forte (clé SSH ou mot de passe). Si un compte n’a pas de mot de passe, désactivez-le ou limitez-le strictement.
3. Surveiller les logs SSH : cherchez des tentatives de connexion avec des chaînes de caractères très longues (plus de 256 caractères). Toute activité suspecte doit être signalée à votre équipe sécurité.
4. Consulter les bulletins de sécurité : suivez les recommandations officielles sur les sites d’OpenSSH et d’Alpine Linux, ainsi que les alertes de votre fournisseur d’hébergement.

Ce qu'on ne sait pas encore

• Aucun incident public n’a été signalé à ce jour, il n’est pas confirmé si la faille a déjà été exploitée en production.
• Le nombre exact de serveurs Alpine Linux affectés dans le monde reste inconnu.
• D’éventuelles variantes de la faille sur d’autres distributions n’ont pas encore été exclues.

Ce qu'on ne sait pas encore