Passwortauthentifizierungs-Auslassung in OpenSSH von Alpine Linux
Eine hochgradige Sicherheitsanfälligkeit wurde in Alpine Linux gemeldet, die die Versionen 3.16 bis 3.24 und edge betrifft und mit der Passwortauthentifizierungsauslassung in OpenSSH von Alpine Linux zusammenhängt. Die Mitteilung wurde am 6. November 2026 von INCIBE-CERT veröffentlicht, nachdem Özgün Kültekin aus Wakefield informiert hatte.
Details zur Sicherheitsanfälligkeit in OpenSSH von Alpine Linux
Die Sicherheitsanfälligkeit betrifft die OpenSSH-Pakete in Alpine Linux, die vor den vom Hersteller angegebenen korrigierten Versionen liegen. Sie tritt unter folgenden spezifischen Bedingungen auf: Der Server verwendet openssh-server ohne PAM oder openssh-server-pam mit der Option UsePAM no; die Passwortauthentifizierung ist aktiviert; es gibt ein Konto, dessen Passwortfeld das Zeichen * enthält; und ein weiteres lokales Konto hat einen Passwort-Hash im Format $5$ oder $6$.
Unter diesen Umständen könnte ein Angreifer mit Zugriff auf den SSH-Port sich in Konten einloggen, die kein Passwort konfiguriert haben, was ein erhebliches Sicherheitsrisiko für die betroffenen Systeme darstellt.
Betroffene Versionen und vorgeschlagene Lösung
Die betroffenen Versionen von Alpine Linux sind von 3.16 bis 3.24 und der edge-Zweig. Der Hersteller hat Updates veröffentlicht, um diese Passwortauthentifizierungs-Auslassung in OpenSSH von Alpine Linux zu beheben, mit spezifischen Versionen für jeden Zweig:
- edge — 10.6_p2-r0
- 3.24 — 10.3_p1-r2
- 3.23 — 10.2_p1-r1
- 3.22 — 10.0_p1-r11
- 3.21 — 9.9_p2-r1
- 3.20 — 9.7_p1-r6
- 3.19 — 9.6_p1-r3
- 3.18 — 9.3_p2-r4
- 3.17 — 9.1_p1-r7
- 3.16 — 9.0_p1-r6
Nach der Installation des Updates muss der SSH-Dienst mit dem Befehl rc-service sshd restart neu gestartet werden, um die Änderungen anzuwenden.
Vorübergehende Maßnahmen und Empfehlung
Falls das Update nicht sofort angewendet werden kann, empfiehlt INCIBE-CERT, den Zugang über öffentliche Schlüssel zu überprüfen und die Passwortauthentifizierung zu deaktivieren, indem PasswordAuthentication no in der aktiven Konfiguration von sshd festgelegt wird, gefolgt von einem Neustart des Dienstes.
Bedeutung der Mitteilung und Nachverfolgung
Diese Passwortauthentifizierungs-Auslassung in OpenSSH von Alpine Linux wurde mit hoher Schwere eingestuft, da die Möglichkeit besteht, dass ein Angreifer ohne Passwort auf bestimmte Konten zugreifen kann. Die Mitteilung ist unter der Kennung CVE-2026-123158 registriert. INCIBE-CERT hat diese frühzeitige Warnung veröffentlicht, um betroffene Benutzer und Systemadministratoren zu informieren.
Für weitere Details und Nachverfolgung wird empfohlen, die offizielle Mitteilung von Alpine Linux und die Informationen, die von INCIBE-CERT auf deren Webseite veröffentlicht wurden, zu konsultieren.
Quelle: INCIBE-CERT
Veröffentlicht: 07.11.2026.
Dieser Artikel wurde möglicherweise mithilfe von KI-Werkzeugen erstellt. KI Richtlinie ansehen
Du kannst das Projekt unterstützen oder diesen Artikel mit einem Klick teilen. Wenigstens hat este bloque un propósito real.