Le fondateur de Binance, Changpeng Zhao (CZ), a averti les opérateurs de serveurs au sujet d'une vulnérabilité critique d'authentification OpenSSH affectant certains systèmes Alpine Linux, les exhortant à installer les correctifs de sécurité après que les développeurs ont découvert que la faille existait depuis près de 10 ans.
Résumé
- Le fondateur de Binance, CZ, a exhorté les opérateurs de serveurs à corriger immédiatement une vulnérabilité de contournement d'authentification OpenSSH vieille d'une décennie.
- La faille affecte certains serveurs Linux basés sur musl utilisant l'authentification par mot de passe sans protection PAM activée lors des connexions.
- Les attaquants pourraient accéder aux comptes vulnérables en utilisant des mots de passe surdimensionnés sans connaître leurs identifiants réels ni leurs clés privées.
- OpenSSH a publié la version 10.6p2, tandis qu'Alpine Linux a publié des correctifs de sécurité pour les versions du système d'exploitation concernées.
- Certaines configurations cloud Alpine pourraient exposer des privilèges administratifs, bien qu'aucune exploitation confirmée n'ait été signalée publiquement.
Dans une publication du 6 novembre sur X, Zhao a attiré l'attention sur le problème de sécurité après qu'OpenSSH et Alpine Linux ont publié des correctifs le 5 novembre. La vulnérabilité peut permettre aux attaquants d'accéder à certains comptes sans connaître leurs mots de passe, y compris les comptes normalement configurés pour n'accepter que des clés SSH.
« Bug de sécurité OpenSSH d'Alpine Linux qui existe depuis 10 ans. Appliquez les correctifs si ce n'est pas déjà fait », a écrit CZ.
L'avertissement concerne une vulnérabilité logicielle affectant certaines configurations de serveurs. Ni la publication de Zhao ni les avis de sécurité n'ont établi que les systèmes de Binance avaient été compromis par cette faille.
La faille OpenSSH permet un accès non autorisé aux serveurs Linux vulnérables
Selon un avis de sécurité officiel, les attaquants peuvent contourner l'authentification sur les serveurs Alpine Linux affectés en fournissant un mot de passe d'une longueur comprise entre 257 et 1 024 octets.
La vulnérabilité affecte les systèmes exécutant OpenSSH sans modules d'authentification enfichables (PAM), à condition que l'authentification par mot de passe reste activée et que certaines configurations de comptes existent.
Un attaquant doit connaître le nom d'utilisateur d'un compte dont le champ de mot de passe stocké contient un astérisque, indiquant qu'aucun mot de passe n'a été défini. La machine doit disposer d'un autre compte local avec un hachage de mot de passe compatible SHA-256 ou SHA-512.
Dans ces conditions, le serveur peut accepter le mot de passe surdimensionné même s'il ne correspond pas à des identifiants légitimes. L'avis indique que l'exploitation ne nécessite qu'une seule connexion, sans tentatives répétées de devinette de mot de passe.
Cependant, tous les serveurs Alpine Linux ne sont pas vulnérables. Les systèmes utilisant PAM pour la vérification des mots de passe, ceux dont l'authentification par mot de passe est désactivée et les conteneurs sans serveur SSH en cours d'exécution ne sont pas affectés.
La faille peut s'étendre au-delà d'Alpine à d'autres distributions Linux utilisant musl libc, y compris certaines configurations OpenWrt, Buildroot et Yocto.
OpenWrt utilise normalement Dropbear pour les connexions SSH, que le chercheur a déclaré ne pas être affecté par ce problème particulier.
Un chercheur en sécurité explique un bug d'authentification vieux d'une décennie
Le chercheur en sécurité Özgün Kültekin de Wakefield a identifié la vulnérabilité, qu'il a nommée « *sshole », et a retracé ses origines à des modifications effectuées entre 2012 et 2016.
Dans son analyse technique, Kültekin a expliqué que la fonction de hachage de mot de passe de musl renvoie un astérisque lorsque les mots de passe dépassent sa limite de traitement de 256 octets.
OpenSSH peut emprunter le sel de mot de passe d'un autre compte lors de la vérification de comptes sans hachages de mot de passe valides. La combinaison crée une situation où l'astérisque renvoyé correspond au champ de mot de passe stocké, permettant à une connexion invalide de réussir.
Le chercheur a lié ce comportement à une modification d'OpenSSH introduite en juillet 2016 pour remédier à un problème de sécurité distinct impliquant la découverte de noms d'utilisateur.
OpenSSH a reconnu la vulnérabilité dans ses notes de version, mais a attribué la cause sous-jacente à du code extérieur au serveur SSH.
« Nous considérons que la cause profonde de ce bogue se situe en dehors de sshd », a déclaré l'équipe de développement dans son avis de sécurité.
Les développeurs ont décrit la nouvelle version comme un contournement qui empêche l'erreur d'authentification d'accorder l'accès.
Les images cloud d'Alpine Linux exposées à un possible accès root
Certaines images cloud d'Alpine Linux présentent une autre préoccupation, car un compte exposé par la vulnérabilité peut disposer de permissions administratives.
L'avis d'Alpine identifie les images tiny-cloud des versions 3.18.11 à 3.24.3 comme potentiellement affectées. Leur compte alpine par défaut dispose d'un accès sans mot de passe à l'utilitaire doas, qui permet aux utilisateurs d'exécuter des commandes avec des privilèges administratifs.
Bien que ces images ne soient pas vulnérables lors de leur premier démarrage, l'ajout d'un compte avec un hachage de mot de passe compatible peut créer les conditions d'une exploitation.
Un attaquant qui parviendrait à accéder au compte alpine pourrait ensuite utiliser ses permissions existantes pour obtenir un accès root.
L'avis distingue ces configurations des systèmes où les connexions root directes restent restreintes. Les paramètres par défaut d'OpenSSH empêchent l'accès root par mot de passe, bien qu'un autre compte administratif compromis puisse encore fournir des privilèges élevés.
La divulgation intervient alors que CZ a continué d'émettre des avertissements de sécurité aux utilisateurs de cryptomonnaies. Le 5 novembre, crypto.news a rapporté son avertissement concernant un site web frauduleux de Trust Wallet conçu pour tromper les utilisateurs afin qu'ils connectent leurs portefeuilles.
OpenSSH publie un correctif de sécurité d'urgence
OpenSSH a publié la version 10.6p2 le 5 novembre pour remédier au contournement d'authentification. Alpine Linux a publié des paquets corrigés couvrant les versions actuelles et les versions plus anciennes remontant à la 3.16.
Son avis demande aux administrateurs de mettre à jour les paquets affectés et de redémarrer le service SSH, car l'installation d'une mise à jour seule ne remplace pas un processus serveur en cours d'exécution.
Pour les opérateurs incapables de mettre à jour immédiatement, les développeurs recommandent de désactiver l'authentification par mot de passe en définissant PasswordAuthentication no et de redémarrer sshd après avoir confirmé que l'accès par clé SSH fonctionne.
Alpine a identifié les versions 3.21.10, 3.22.8, 3.23.8 et 3.24.4 comme des versions contenant les paquets corrigés.
Il a été conseillé aux administrateurs d'examiner les journaux d'authentification SSH pour détecter tout accès inattendu par mot de passe à des comptes qui ne devraient pas accepter de mots de passe.
L'avis de sécurité a indiqué que les opérateurs incapables d'exclure un accès non autorisé devraient considérer la machine affectée comme compromise.
