Alpine, OpenSSH 비밀번호 인증이 원클릭으로 우회될 수 있다고 경고

BlockBeats 소식, 11월 6일 Alpine Linux 공식 보안 공지에 따르면, openssh-server 패키지가 PAM을 활성화하지 않은 빌드에서 비밀번호 인증 우회 취약점이 존재한다. 공격자가 SSH 포트에 연결할 수만 있다면 특정 조건에서 한 번의 연결로 올바른 비밀번호 없이 로그인할 수 있다. 조건으로는 PasswordAuthentication 활성화, 비밀번호 필드가 *인 계정 존재, 그리고 로컬에 최소 하나 이상의 $5$ 또는 $6$ 해시를 가진 계정이 있어야 한다. 공격자가 비밀번호 없는 계정에 초장문 비밀번호를 제출하면 매칭에 성공할 수 있다. 영향 범위는 공식 확인된 Alpine 3.21–3.24와 edge, 그리고 지원이 중단된 3.16–3.20을 포함한다. openssh-server-pam을 사용하고 UsePAM yes로 설정했거나 비밀번호 로그인을 비활성화한 시스템은 영향을 받지 않는다.

발행 시점까지 CVE는 아직 할당되지 않았다. 공식 측은 근본 원인이 PAM이 없을 때 다른 계정의 솔트 값을 차용하는 것과 musl의 crypt()가 초장문 비밀번호에 대해 *를 반환하는 것과 관련이 있다고 밝혔다. OpenSSH 10.6p2와 각 안정 브랜치 패치 패키지에서 이미 수정되었다. 즉시 apk upgrade 후 sshd를 재시작할 것을 권장하며, 패키지만 업그레이드하면 실행 중인 데몬이 교체되지 않는다. 당장 업그레이드할 수 없는 경우 비밀번호 인증을 비활성화해야 한다. 공식 tiny-cloud 이미지의 alpine 사용자는 * 비밀번호를 가지고 있으며 비밀번호 없이 doas를 사용할 수 있어, 로컬에 $6$ 해시가 존재하면 root까지 악용될 수 있다.