cross-posted from: https://awful.systems/post/10279626

are you affected?

• is your sshd running on musl? (alpine, openwrt, buildroot, yocto)
• is it not using pam? alpine's openssh-server doesn't by default, or maybe you set UsePAM no
• are password logins still on? they are by default
• is there an account with just * as its password? key-only users, ldap users, root on alpine
• and some other account with a real password?
• then that * account takes any password between 257 and 1024 characters

on alpine's official aws and azure images that's the default alpine user, and it has passwordless doas. so it's root

on debian, ubuntu, fedora or anything else with glibc? going through pam? dropbear? openbsd? you're fine

Falha que permite contornar autenticação por senha é descoberta no OpenSSH

:xp_info: Atualização: a vulnerabilidade afeta apenas sistemas que usam musl libc com PAM desativado, como o Alpine Linux. Se você usa outra distro sem isso, acho que não precisa se preocupar. De qualquer forma, é uma boa prática desativar a autenticação por senha.

:clippyLookingRight: Site com detalhes e sistemas afetados: https://sshhole.com/

Se seu servidor tem alguma porta que conecta ao servidor OpenSSH, desative a autenticação por senha no seu arquivo /etc/ssh/sshd_config, definindo "PasswordAuthentication no".

Salve o arquivo e reinicie o serviço do sshd. Foi descoberta uma falha de segurança que, pelo que entendi superficialmente, permite contornar a autenticação por senha.

Uma correção já existe, mas pode levar um tempo até chegar no repositório das distribuições Linux: https://openssh.org/releasenotes.html#10.6p2

:alert_rgb: Importante: antes de executar a alteração acima, configure alguma outra forma de autenticação, como chaves de segurança. Caso contrário você ficará trancado do lado de fora do servidor :alert_rgb:

:clippyLookingRight: A vulnerabilidade é específica do OpenSSH e não afeta o Dropbear.

@fediadminbr

#FediAdminBR #MastoAdmin #FediAdmin

Comments