Omissione dell'autenticazione per password in OpenSSH su Alpine Linux

Una vulnerabilità di alta severità è stata segnalata in Alpine Linux che interessa le versioni dalla 3.16 alla 3.24 e edge, relativa all'omissione dell'autenticazione per password in OpenSSH su Alpine Linux. L'avviso è stato emesso il 6 novembre 2026 da INCIBE-CERT, dopo la segnalazione effettuata da Özgün Kültekin da Wakefield.

Dettagli della vulnerabilità in OpenSSH su Alpine Linux

La vulnerabilità interessa i pacchetti di OpenSSH in Alpine Linux precedenti alle versioni corrette indicate dal produttore. Si presenta quando si verificano queste specifiche condizioni: il server utilizza openssh-server senza PAM o openssh-server-pam con l'opzione UsePAM no; l'autenticazione per password è abilitata; esiste un account il cui campo password contiene il carattere *; e un altro account locale che possiede un hash di password con formato $5$ o $6$.

In queste circostanze, un attaccante con accesso alla porta SSH potrebbe accedere a account che non hanno una password configurata, rappresentando un rischio significativo per la sicurezza dei sistemi interessati.

Versioni interessate e soluzione proposta

Le versioni di Alpine Linux interessate vanno dalla 3.16 alla 3.24 e alla branch edge. Il produttore ha pubblicato aggiornamenti per correggere questa omissione dell'autenticazione per password in OpenSSH su Alpine Linux, con versioni specifiche per ogni branch:

• edge — 10.6_p2-r0
• 3.24 — 10.3_p1-r2
• 3.23 — 10.2_p1-r1
• 3.22 — 10.0_p1-r11
• 3.21 — 9.9_p2-r1
• 3.20 — 9.7_p1-r6
• 3.19 — 9.6_p1-r3
• 3.18 — 9.3_p2-r4
• 3.17 — 9.1_p1-r7
• 3.16 — 9.0_p1-r6

Dopo aver installato l'aggiornamento, è necessario riavviare il servizio SSH con il comando rc-service sshd restart per applicare le modifiche.

Misure temporanee e raccomandazione

Nel caso in cui l'aggiornamento non possa essere applicato immediatamente, INCIBE-CERT raccomanda di verificare l'accesso tramite chiave pubblica e disabilitare l'autenticazione per password impostando PasswordAuthentication no nella configurazione attiva di sshd, seguito da un riavvio del servizio.

Importanza dell'avviso e monitoraggio

Questa omissione dell'autenticazione per password in OpenSSH su Alpine Linux è stata classificata con alta severità, data la possibilità che un attaccante possa accedere senza password a determinati account. L'avviso è registrato con l'identificativo CVE-2026-123158. INCIBE-CERT ha pubblicato questo avviso precoce per informare gli utenti e gli amministratori dei sistemi interessati.

Per ulteriori dettagli e monitoraggio, si consiglia di consultare l'avviso ufficiale di Alpine Linux e le informazioni pubblicate da INCIBE-CERT sul loro sito web.

Fonte: INCIBE-CERT

Potrebbe interessarti anche

• Vulnerabilità di iniezione SQL rilevata in ERPNext di Frappe
• Vulnerabilità SSRF non autenticata rilevata in MLflow
• Rilevamento di più vulnerabilità nel core di WordPress che compromettono la sicurezza