Alpine Linux: Ein einziges Passwort macht alle passwortlosen Konten per SSH angreifbar

Alpine Linux Security advisory: OpenSSH-server password authentication bypass

Auf Alpine Linux können Angreifer sich ohne Passwort per SSH anmelden, wenn das System ein Konto mit einem $5$- oder $6$-Hash besitzt. Ein sehr langes Passwort lässt musls crypt() den Fehlerwert * zurückgeben, der mit dem gespeicherten Feld passwortloser Konten übereinstimmt. Betroffen sind alle Alpine-Versionen von 3.16 bis edge sowie die tiny-cloud-Images. Ein Update von openssh und ein Neustart von sshd schließen die Lücke; alternativ hilft PasswordAuthentication no.