Alpine Linux ha pubblicato un avviso urgente per una falla che può aggirare l’autenticazione SSH. Il problema, soprannominato *sshole, non riguarda indistintamente tutti i computer Linux: richiede una combinazione precisa di libreria musl, configurazione del server e account locali. Le correzioni sono già disponibili.
Quali installazioni sono esposte
Il bollettino Alpine del 5 novembre indica i server OpenSSH senza PAM, oppure con PAM disattivato, che consentono l’accesso tramite password. Devono inoltre coesistere un account con il campo password impostato a * e un altro account con hash SHA-256 o SHA-512. È una condizione importante: possedere un dispositivo Linux, da solo, non significa essere vulnerabili.
Nei sistemi interessati, un errore nella verifica della password può essere scambiato per una corrispondenza valida. Il progetto OpenSSH ha introdotto una contromisura in 10.6p2, come spiegano le note ufficiali di rilascio. Non si tratta di una debolezza della cifratura SSH né di una fuga generalizzata delle chiavi private.
Aggiornare, poi riavviare il servizio
Alpine ha rilasciato le versioni 3.21.10, 3.22.8, 3.23.8 e 3.24.4 con i pacchetti corretti. Sono disponibili patch anche per rami precedenti: la comunicazione delle nuove release e la tabella del bollettino permettono di verificare il proprio ramo senza confrontare soltanto il numero della versione upstream.
Dopo l’aggiornamento va riavviato sshd: il processo già in esecuzione non viene sostituito dal solo download del pacchetto. Nell’attesa della patch, Alpine indica la disattivazione dei login con password, verificando prima che l’accesso con chiave funzioni per evitare di restare esclusi dal sistema.
Container e dispositivi: niente allarmi generalizzati
Un container che non esegue sshd non rientra nel caso descritto. Non è quindi corretto estendere l’allarme a ogni immagine Docker o a tutti i router: conta la configurazione effettiva. È una distinzione utile anche rispetto alla diversa falla Januscape in Linux KVM, che interessava la virtualizzazione e non questo meccanismo di login.
