WORLDTECHJahrzehntealte OpenSSH-Lücke kann Angreifer ohne Passwort auf manche Alpine-Linux-Geräte lassen
Eine Schwachstelle, die seit etwa einem Jahrzehnt besteht, kann Angreifern ermöglichen, sich ohne Passwort bei manchen Linux-Geräten anzumelden, heißt es in einem Bericht. Betroffen sind Geräte mit bestimmten Konfigurationen von Alpine Linux, möglicherweise auch andere Distributionen.
Wo die Schwäche liegt
Die Schwäche ergibt sich daraus, wie OpenSSH, die Codebibliothek für SSH-Verbindungen, mit musl zusammenarbeitet. musl ist eine schlanke Alternative zur Standard-C-Bibliothek libc und kommt bei Alpine zum Einsatz, nicht aber bei den meisten anderen Linux-Distributionen.
Das Problem tritt auf, wenn OpenSSH auf musl läuft und kein PAM verwendet, das Framework austauschbarer Authentifizierungsmodule für Benutzeranmeldung und Kontozugriffsprüfungen. In dieser Konstellation, so der Bericht, kann sich ein Angreifer ohne Passwort Zugang zu betroffenen Geräten verschaffen.
Wer betroffen sein könnte
Betroffen sind Geräte mit bestimmten Alpine-Linux-Konfigurationen. Der Bericht legt nahe, dass auch andere Distributionen betroffen sein könnten, welche das sind, geht aus den vorliegenden Angaben jedoch nicht hervor.
Alpine gilt als schlanke und weit verbreitete Distribution, die mögliche Reichweite könnte daher erheblich sein, auch wenn die Angaben keine Zahl betroffener Geräte nennen.
Offene Fragen
- Welche Alpine-Linux-Konfigurationen sind betroffen, und welche weiteren Distributionen sind beteiligt?
- Wurde ein Patch oder eine Gegenmaßnahme für die Lücke veröffentlicht?