Omission de l'authentification par mot de passe dans OpenSSH d'Alpine Linux
Une vulnérabilité de gravité élevée a été signalée dans Alpine Linux, affectant les versions 3.16 à 3.24 et edge, liée à l'omission de l'authentification par mot de passe dans OpenSSH d'Alpine Linux. L'avis a été émis le 6 novembre 2026 par l'INCIBE-CERT, suite à la notification faite par Özgün Kültekin depuis Wakefield.
Détails de la vulnérabilité dans OpenSSH d'Alpine Linux
La vulnérabilité affecte les paquets d'OpenSSH dans Alpine Linux antérieurs aux versions corrigées indiquées par le fabricant. Elle se présente lorsque les conditions spécifiques suivantes sont remplies : le serveur utilise openssh-server sans PAM ou openssh-server-pam avec l'option UsePAM no; l'authentification par mot de passe est activée; il existe un compte dont le champ de mot de passe contient le caractère *; et un autre compte local possède un hash de mot de passe au format $5$ ou $6$.
Dans ces circonstances, un attaquant ayant accès au port SSH pourrait se connecter à des comptes qui n'ont pas de mot de passe configuré, ce qui représente un risque important pour la sécurité des systèmes concernés.
Versions affectées et solution proposée
Les versions d'Alpine Linux affectées vont de la 3.16 à la 3.24 et à la branche edge. Le fabricant a publié des mises à jour pour corriger cette omission de l'authentification par mot de passe dans OpenSSH d'Alpine Linux, avec des versions spécifiques pour chaque branche :
- edge — 10.6_p2-r0
- 3.24 — 10.3_p1-r2
- 3.23 — 10.2_p1-r1
- 3.22 — 10.0_p1-r11
- 3.21 — 9.9_p2-r1
- 3.20 — 9.7_p1-r6
- 3.19 — 9.6_p1-r3
- 3.18 — 9.3_p2-r4
- 3.17 — 9.1_p1-r7
- 3.16 — 9.0_p1-r6
Après avoir installé la mise à jour, il est nécessaire de redémarrer le service SSH avec la commande rc-service sshd restart pour appliquer les changements.
Mesures temporaires et recommandations
Si la mise à jour ne peut pas être appliquée immédiatement, l'INCIBE-CERT recommande de vérifier l'accès par clé publique et de désactiver l'authentification par mot de passe en définissant PasswordAuthentication no dans la configuration active de sshd, suivie d'un redémarrage du service.
Importance de l'avis et suivi
Cette omission de l'authentification par mot de passe dans OpenSSH d'Alpine Linux a été classée avec une gravité élevée, étant donné la possibilité qu'un attaquant puisse accéder sans mot de passe à certains comptes. L'avis est enregistré sous l'identifiant CVE-2026-123158. L'INCIBE-CERT a publié cette alerte précoce pour informer les utilisateurs et les administrateurs des systèmes concernés.
Pour plus de détails et de suivi, il est recommandé de consulter l'avis officiel d'Alpine Linux et les informations publiées par l'INCIBE-CERT sur son site web.
Source : INCIBE-CERT
Publié: 07/11/2026.
Cet article peut avoir été élaboré avec l’aide d’outils d’intelligence artificielle. Voir la politique IA
Tu peux soutenir le projet ou partager cet article en un clic. Au moins ici, il y a une vraie sortie utile.