Alpine Linux un OpenSSH: desmit gadus sena ievainojamība ļauj pieteikties bez paroles
Dažās Alpine Linux konfigurācijās un, iespējams, citos izplatījumos var pieteikties ierīcē pa SSH bez paroles, izmantojot ļoti garu paroles lauka ievadi. Ievainojamība pastāv jau aptuveni desmit gadus.
Ierīcēm, kurās darbojas noteiktas Alpine Linux konfigurācijas, un, iespējams, arī citiem Linux izplatījumiem, ir atklāta aptuveni desmit gadus sena drošības ievainojamība. Tā ļauj uzbrucējam attālināti pieteikties ierīcē pa SSH (drošu attālinātās piekļuves protokolu) bez jebkādas paroles. Alpine ir viegls un plaši izmantots Linux izplatījums.
Kur slēpjas problēma
Neaizsargātība rodas OpenSSH, bibliotēkas, kas realizē SSH savienojumus, un musl mijiedarbībā. Musl ir vieglāks libc bibliotēkas aizvietotājs, ko Alpine lieto atšķirībā no vairuma citu Linux izplatījumu. Turklāt OpenSSH, kas strādā ar musl, nedrīkst izmantot PAM (pievienojamo autentifikācijas moduļu sistēmu, kas apstrādā lietotāju autentifikāciju un piekļuves pārbaudes).
Nepieciešamie nosacījumi
Papildus tam jāizpildās vēl diviem nosacījumiem. Pirmkārt, sistēmā jābūt vismaz vienam lietotāja kontam, kas pieejams ar paroli, kuras jaukškodu veido ar SHA256 vai SHA512 funkciju. Otrkārt, mērķa kontam jābūt bezparoles, failā /etc/shadow (kur glabājas paroļu jaukškodi) paroles laukā norādot zvaigznīti. Šādus kontus bieži izmanto, ja autentifikācija notiek ar sertifikātiem.
Ja visi nosacījumi ir izpildīti, sekas ir nopietnas. Alpine uzturētāji ceturtdien norādīja, ka uzbrucējs, kas var piekļūt SSH portam, var pieteikties bez paroles; tam pietiek ar vienu savienojumu, tas strādā katru reizi un atkārtoti mēģinājumi nav vajadzīgi. Lai piekļūtu bezparoles kontam, paroles laukā jāievada vairāk nekā 256 rakstzīmju.
Drošības uzņēmums Checkpoint skaidro, ka SHA256 vai SHA512 nozīme ir tāpēc, ka sshd aizņemas šī konta sāli; bez tā uzbrukums neizdodas. Uzņēmuma pētnieki arī konstatēja, ka kontam jābūt aktīvam, nepietiek ar to, ka tam ir jaukškods. Checkpoint papildus ziņoja, ka root konti ir droši, ja iestatīts noklusējuma PermitRootLogin prohibit-password, taču pieejami konti ar doas vai sudo tiesībām joprojām var kļūt par root.
