币安创始人赵长鹏（CZ）就一个影响部分 Alpine Linux 系统的严重 OpenSSH 认证漏洞向服务器运营者发出警告，敦促他们在开发者发现该漏洞已存在近十年后安装安全修复程序。
摘要
- 币安创始人 CZ 敦促服务器运营者立即修补一个存在了十年的 OpenSSH 认证绕过漏洞。
- 该漏洞影响某些基于 musl 的 Linux 服务器，这些服务器在登录时使用密码认证且未启用 PAM 保护。
- 攻击者可以使用超长密码访问存在漏洞的账户，而无需知道其实际凭据或私钥。
- OpenSSH 发布了 10.6p2 版本，而 Alpine Linux 为受影响的操作系统版本发布了安全修复程序。
- 某些 Alpine 云配置可能暴露管理权限，不过目前尚未有公开报道确认该漏洞已被利用。
在 11 月 6 日发布于 X 的一篇帖子中，赵长鹏在 OpenSSH 和 Alpine Linux 于 11 月 5 日发布修复程序后，提请人们关注这一安全问题。该漏洞可让攻击者在不知道密码的情况下访问某些账户，包括通常配置为仅接受 SSH 密钥的账户。
“Alpine Linux OpenSSH 安全漏洞已经存在 10 年了。如果还没修复，请应用修复程序，”CZ 写道。
该警告涉及一个影响部分服务器配置的软件漏洞。赵长鹏的帖子以及安全公告均未证实币安系统曾通过该漏洞遭到入侵。
OpenSSH 漏洞允许未经授权访问存在漏洞的 Linux 服务器
根据一份官方安全公告，攻击者可以通过提供长度在 257 到 1,024 字节之间的密码，绕过受影响 Alpine Linux 服务器上的认证。
该漏洞影响运行 OpenSSH 且未使用可插拔认证模块（PAM）的系统，前提是密码认证仍处于启用状态且存在某些账户配置。
攻击者需要知道某个账户的用户名，该账户存储的密码字段包含星号，表示未设置密码。该机器还必须存在另一个本地账户，其密码哈希与 SHA-256 或 SHA-512 兼容。
在这些条件下，服务器可能会接受超长密码，即使它与合法凭据不匹配。公告指出，利用该漏洞只需一次连接，无需反复猜测密码。
然而，并非每台 Alpine Linux 服务器都存在漏洞。使用 PAM 进行密码校验的系统、禁用密码认证的系统以及未运行 SSH 服务器的容器均不受影响。
该漏洞可能不仅限于 Alpine，还会波及使用 musl libc 的其他 Linux 发行版，包括某些 OpenWrt、Buildroot 和 Yocto 配置。
OpenWrt 通常使用 Dropbear 进行 SSH 连接，该研究员表示 Dropbear 不受这一特定问题影响。
安全研究员解释存在十年的认证漏洞
Wakefield 的安全研究员 Özgün Kültekin 发现了该漏洞，并将其命名为“*sshole”，他追溯其起源至 2012 年至 2016 年间所做的更改。
在其技术文章中，Kültekin 解释说，当密码超过 musl 的 256 字节处理限制时，其密码哈希函数会返回一个星号。
OpenSSH 在检查没有有效密码哈希的账户时，可以借用另一个账户的密码盐。这种组合造成了一种情况：返回的星号与存储的密码字段匹配，从而使无效登录得以成功。
研究人员将这一行为与2016年7月引入的一项OpenSSH变更联系起来，该变更旨在解决另一个涉及用户名发现的安全问题。
OpenSSH在其发布说明中承认了该漏洞，但将根本原因归咎于SSH服务器之外的代码。
“我们认为此漏洞的根本原因在sshd之外，”开发团队在其安全公告中表示。
开发者将新版本描述为一种变通方法，可防止该认证错误授予访问权限。
Alpine Linux云镜像面临可能的root访问风险
某些Alpine Linux云镜像带来另一个担忧，因为通过该漏洞暴露的账户可能拥有管理权限。
Alpine的公告指出，版本3.18.11至3.24.3的tiny-cloud镜像可能受到影响。其默认的alpine账户可无密码访问doas工具，该工具允许用户以管理权限执行命令。
尽管这些镜像在首次启动时并不存在漏洞，但添加一个具有兼容密码哈希的账户可能会创造被利用的条件。
成功访问alpine账户的攻击者随后可利用其现有权限获取root访问权限。
该公告将这些配置与直接root登录仍受限制的系统区分开来。OpenSSH的默认设置可防止基于密码的root访问，尽管另一个被攻陷的管理账户仍可能提供提升的权限。
此次披露之际，CZ一直在持续向加密货币用户发布安全警告。11月5日，crypto.news 报道了他关于一个旨在诱骗用户连接钱包的欺诈性Trust Wallet网站的警告。
OpenSSH发布紧急安全修复
OpenSSH于11月5日发布10.6p2版本以解决该认证绕过问题。Alpine Linux发布了涵盖当前版本及可追溯至3.16的旧版本的修补包。
其公告指示管理员更新受影响的软件包并重启SSH服务，因为仅安装更新并不会替换正在运行的服务器进程。
对于无法立即更新的运维人员，开发者建议通过设置PasswordAuthentication no来禁用密码认证，并在确认SSH密钥访问正常后重启sshd。
Alpine确认版本3.21.10、3.22.8、3.23.8和3.24.4为包含修复包的发布版本。
管理员被建议检查SSH认证日志，查找对不应接受密码的账户进行的意外基于密码的访问。
该安全公告表示，无法排除未经授权访问的运维人员应将受影响的机器视为已被攻陷。
