Foto di Sasun Bughdaryan.

Il progetto OpenSSH ha pubblicato un aggiornamento d'emergenza per correggere una vulnerabilità critica che, in determinate configurazioni di Alpine Linux, consentiva a un attaccante di accedere via SSH a account privi di password utilizzando semplicemente una stringa di caratteri insolitamente lunga. La correzione è stata distribuita con la versione 10.6p2, mentre Alpine ha rilasciato pacchetti aggiornati per tutte le versioni supportate e persino per diversi rami non più mantenuti. Il problema interessa specifiche configurazioni del server SSH nelle quali l'autenticazione tramite password è attiva e il controllo delle credenziali viene effettuato senza il supporto di PAM, il sistema modulare di autenticazione largamente utilizzato nelle distribuzioni Linux. Le installazioni che utilizzano PAM oppure sistemi basati sulla libreria glibc non risultano coinvolte.

La vulnerabilità interessa principalmente i sistemi che utilizzano la libreria musl, elemento distintivo di Alpine Linux. Secondo il progetto OpenSSH, il comportamento anomalo nasce dall'interazione tra il server sshd, la funzione crittografica crypt() fornita da musl e la gestione degli account configurati senza password. Per sfruttare la falla, l'attaccante deve conoscere il nome di un account configurato senza password ma utilizzabile soltanto tramite chiavi SSH (per il quale quindi la password è indicata soltanto come *) e poter raggiungere il servizio SSH esposto in rete. A quel punto non c'è bisogno di avere accesso alle chiavi: è infatti sufficiente inviare una stringa qualsiasi, di lunghezza compresa tra 257 e 1.024 caratteri, per aggirare i controlli di autenticazione. Secondo l'avviso di sicurezza, il meccanismo può funzionare al primo tentativo senza richiedere ulteriori prove.

L'esposizione al problema dipende dalla contemporanea presenza di quattro condizioni. Il sistema deve utilizzare il pacchetto openssh-server compilato senza PAM, l'opzione PasswordAuthentication deve essere attiva, deve esistere almeno un account senza password e deve essere presente almeno un altro account locale dotato di un hash password compatibile. Se tutti questi requisiti risultano soddisfatti, il sistema è considerato vulnerabile. Tra gli account che possono rientrare negli scenari a rischio, oltre a quelli degli utenti configurati per accedere esclusivamente tramite chiave SSH, vi sono gli utenti provenienti da servizi di directory esterni e, in alcune configurazioni Alpine, anche l'account root o l'utente predefinito alpine distribuito in determinate immagini cloud ufficiali.

Il ricercatore Özgün Kültekin, accreditato per la scoperta del problema, ha inoltre evidenziato che sistemi basati su musl diversi da Alpine meritano verifiche specifiche. Tra gli ambienti menzionati figurano OpenWrt, Buildroot e Yocto, anche se l'impatto effettivo dipende dalle componenti SSH installate e dalla configurazione adottata dagli amministratori. Per risolvere il problema, OpenSSH ha pubblicato la versione 10.6p2. La modifica implementata impedisce al server di considerare valido un confronto quando il campo della password memorizzata è troppo corto per rappresentare un hash legittimo. Gli sviluppatori descrivono l'intervento come una mitigazione pratica, sottolineando che l'origine del problema si trova al di fuori del codice principale di sshd.

Articoli suggeriti:

Android, oltre un milione di dispositivi venduti con una backdoor di fabbrica

Account Microsoft obbligatorio? Un link dimenticato nella configurazione aggira ...

Google sperimenta il login via selfie

Microsoft, account ufficiale usato per inviare spam credibile

Gli amministratori che utilizzano Alpine Linux sono stati invitati ad aggiornare immediatamente il pacchetto OpenSSH e a riavviare il servizio sshd dopo l'installazione, poiché il semplice aggiornamento del software non sostituisce il processo già in esecuzione. L'avviso ufficiale ricorda esplicitamente che il riavvio del servizio è necessario affinché la correzione entri effettivamente in funzione. Per chi non può aggiornare nell'immediato, la raccomandazione è disattivare l'autenticazione tramite password impostando PasswordAuthentication su "no" e mantenendo esclusivamente l'accesso tramite chiavi crittografiche. Secondo gli sviluppatori, questa misura elimina il vettore di attacco sfruttato dalla vulnerabilità.

Leggi anche:

Red Hat Enterprise Linux 10: IA e sicurezza post-quantistica

Microsoft inaugura l'era degli account senza password

Apple, Google e Microsoft si alleano per un prossimo futuro senza più passw...

Apple, Google e Microsoft svelano il sistema che eliminerà le password