Kwetsbaarheid verholpen in OpenSSH door OpenSSH Project

Interpretaties
De kwetsbaarheid betreft een bypass van de SSH-wachtwoordauthenticatie bij gebruik van wachtwoorden met een lengte van 257 tot 1024 bytes. De oorzaak ligt in de interactie tussen de authenticatieafhandeling van OpenSSH (sshd) en de implementatie van crypt() in musl libc, in omgevingen waarin PAM niet wordt gebruikt. Hierdoor kan een aanvaller onder specifieke omstandigheden de wachtwoordverificatie omzeilen en mogelijk ongeautoriseerde toegang tot het systeem verkrijgen.

Misbruik vereist dat aan meerdere voorwaarden wordt voldaan:

- Het systeem draait Linux met musl libc, zoals Alpine Linux.
- OpenSSH draait zonder PAM.
- PasswordAuthentication is ingeschakeld.
- Er is een account aanwezig met een * als password hash en minimaal één ander account met een geldige SHA-256 of SHA-512 password hash.

De kwetsbaarheid is daarmee beperkt tot specifieke configuraties. Reguliere Debian en Ubuntu installaties, die gebruikmaken van glibc, vallen buiten het beschreven toepassingsgebied.

Vanuit securityoogpunt wordt geadviseerd SSH-beheerdiensten niet rechtstreeks aan het internet bloot te stellen. Beperk de toegang waar mogelijk tot vertrouwde netwerken en schakel wachtwoordauthenticatie uit wanneer deze niet noodzakelijk is.

Oplossingen
OpenSSH Project heeft updates uitgebracht om de kwetsbaarheid te verhelpen. Zie bijgevoegde referenties voor meer informatie.