OpenSSH warnt: Kritische Lücke in Alpine Linux erfordert sofortiges Handeln
OpenSSH 10.6p2 has been released with a workaround for a critical vulnerability
OpenSSH 10.6p2 schließt eine kritische Schwachstelle, die nur Linux-Systeme mit musl libc ohne PAM betrifft – etwa Alpine Linux. Betreiber solcher Systeme sollen PasswordAuthentication=no setzen oder SSH sofort deaktivieren. Die Ursache liegt außerhalb von OpenSSH, doch das Team liefert schnell einen Workaround. Grund für die Eile: KI-Agenten entdecken Bugs teils binnen Stunden erneut, weshalb lange Embargos nun als gefährlich gelten.
Wir veröffentlichen diese Version so schnell wie möglich (wir haben gestern von dem Problem erfahren), weil wir kürzlich mehrere Fälle beobachtet haben, in denen KI-Agenten Bugs rasch erneut entdeckt haben, manchmal innerhalb von Stunden, und halten lange Embargofristen daher inzwischen für eine gefährliche Praxis, die vor allem Angreifern nützt.
- amluto
Wow, was für ein Bug. Ich erwarte, dass der Exploit buchstäblich so einfach ist, dass man sich einfach per ssh als Benutzer mit dem Passwort '*' in /etc/shadow anmeldet und irgendetwas als Passwort eingibt.
Soweit Systeme, die auf diese verwundbare Weise konfiguriert sind, in freier Wildbahn existieren, wundert es mich, dass sie nicht schon vor Jahren von trivialen SSH-Bots ausgenutzt wurden.
P.S. Wow, ich bin daran erinnert, wie furchtbar traditionelle UNIX-artige C-APIs und Code sind.
P.P.S. Der fragliche musl-Code ist irre. Die API, die er implementiert, ist furchtbar. Im Ernst, hier ist die Manpage:
https://man.archlinux.org/man/crypt.3.en
Man kann diese Funktion nicht korrekt aufrufen. Der „Fix“ von sshd besteht im Grunde darin, anzunehmen, dass eine zu kurze Rückgabe ein Fehlerrückgabewert statt eines Erfolgsrückgabewerts ist.
PAM ist auch furchtbar, aber das hier ist schlimmer.
- dust42
> Wir veröffentlichen dieses Release so schnell wie möglich (wir haben gestern von dem Problem erfahren), weil wir kürzlich mehrere Fälle beobachtet haben, in denen KI-Agenten Bugs schnell wiederentdeckt haben, manchmal innerhalb von Stunden, und daher lange Embargo-Zeiträume jetzt als gefährliche Praxis betrachten, die in erster Linie Angreifern nützt.
Ich denke, das wird wahrscheinlich zum Standard werden. Trotzdem stehen uns ein paar stürmische Monate bevor.
- throwa356262
Nur musl, der schnelle Fix:
PasswordAuthentication=no
Was im Allgemeinen ein guter Rat ist.
- MPSimmons
Ist das tatsächlich effektiv gegen Alpine? Die Standardinstallation scheint ! als Platzhalter in /etc/shadow statt * zu verwenden, und der Angriff scheint nicht zu funktionieren.
- asdfsa32
Wer macht heutzutage überhaupt PasswordAuthentication=yes.