Un vulnerabilità presente in OpenSSH dal 2016, denominata *sshole, potrebbe essere sfruttata per effettuare il login in Alpine Linux, utilizzando una password lunga oltre 256 byte. Il problema di sicurezza è stato descritto dal ricercatore Ozgun Kultekin. Gli sviluppatori di Alpine Linux hanno rilasciato aggiornamenti per le versioni delle distribuzioni supportate.
Descrizione della vulnerabilità
La vulnerabilità è presente nel server OpenSSH eseguito sulle distribuzioni Linux che usano la libreria musl, alternativa a libc. La più nota è Alpine Linux. Altri requisiti necessari per sfruttare la vulnerabilità sono: autenticazione PAM (Pluggable Authentication Modules) disattivata, un account con password hash (cifratura SHA256 o SHA512), un account con * come password hash e, ovviamente, l’autenticazione SSH con password attivata.
Il bug è dovuto all’errore di verifica della password da parte di OpenSSH. Linux permette di configurare gli account in modo da impedire l’accesso tramite password, sostituendo l’hash della password con un asterisco (*) nel file /etc/shadow. Dato che non si tratta di un hash valido, nessuna password consentirà l’accesso a tali account.
Un fix introdotto nel 2016 per correggere un’altra vulnerabilità ha cambiato il modo in cui OpenSSH gestisce gli account senza password hash. La funzione crypt() della libreria musl restituisce * come output, quando una password è più lunga di 256 byte. Se un cybercriminale usa quindi una password lunga più di 256 byte, OpenSSH confronta l’output * della funzione con l’hash * memorizzato e permette l’accesso.
OpenSSH ha corretto la vulnerabilità con la versione 10.6p2, mentre Alpine Linux ha rilasciato le versioni 3.21.10, 3.22.8, 3.23.8 e 3.24.4 della distribuzione. In alternativa è possibile aggiornare i pacchetti con il comando apk upgrade -U -a. Se non è possibile installare l’aggiornamento è consigliata la disattivazione dell’autenticazione con password di OpenSSH. In tutti i casi deve essere riavviato il server (sshd).
Ti potrebbe interessare
11 nov 2026