Omissão de autenticação por palavra-passe no OpenSSH do Alpine Linux
Uma vulnerabilidade de severidade alta foi reportada no Alpine Linux que afeta as versões 3.16 a 3.24 e edge, relacionada com a omissão da autenticação por palavra-passe no OpenSSH do Alpine Linux. O aviso foi emitido a 6 de novembro de 2026 pelo INCIBE-CERT, após a notificação feita por Özgün Kültekin de Wakefield.
Detalhes da vulnerabilidade no OpenSSH do Alpine Linux
A vulnerabilidade afeta os pacotes do OpenSSH no Alpine Linux anteriores às versões corrigidas indicadas pelo fabricante. Apresenta-se quando se cumprem estas condições específicas: o servidor utiliza openssh-server sem PAM ou openssh-server-pam com a opção UsePAM no; a autenticação por palavra-passe está habilitada; existe uma conta cujo campo de palavra-passe contém o carácter *; e outra conta local que possui um hash de palavra-passe com formato $5$ ou $6$.
Nestas circunstâncias, um atacante com acesso à porta SSH poderia iniciar sessão em contas que não têm palavra-passe configurada, o que representa um risco importante para a segurança dos sistemas afetados.
Versões afetadas e solução proposta
As versões do Alpine Linux afetadas vão da 3.16 até à 3.24 e à rama edge. O fabricante publicou atualizações para corrigir esta omissão da autenticação por palavra-passe no OpenSSH do Alpine Linux, com versões específicas para cada rama:
- edge — 10.6_p2-r0
- 3.24 — 10.3_p1-r2
- 3.23 — 10.2_p1-r1
- 3.22 — 10.0_p1-r11
- 3.21 — 9.9_p2-r1
- 3.20 — 9.7_p1-r6
- 3.19 — 9.6_p1-r3
- 3.18 — 9.3_p2-r4
- 3.17 — 9.1_p1-r7
- 3.16 — 9.0_p1-r6
Após instalar a atualização, deve-se reiniciar o serviço SSH com o comando rc-service sshd restart para aplicar as alterações.
Medidas temporárias e recomendação
Caso a atualização não possa ser aplicada de imediato, o INCIBE-CERT recomenda verificar o acesso através de chave pública e desativar a autenticação por palavra-passe, estabelecendo PasswordAuthentication no na configuração ativa de sshd, seguido de um reinício do serviço.
Importância do aviso e acompanhamento
Esta omissão da autenticação por palavra-passe no OpenSSH do Alpine Linux foi catalogada com uma severidade alta, dada a possibilidade de um atacante poder aceder sem palavra-passe a certas contas. O aviso está registado sob o identificador CVE-2026-123158. O INCIBE-CERT publicou este alerta antecipado para informar os utilizadores e administradores de sistemas afetados.
Para mais detalhes e acompanhamento, recomenda-se consultar o aviso oficial do Alpine Linux e a informação publicada pelo INCIBE-CERT na sua página web.
Fonte: INCIBE-CERT
Publicado: 07/11/2026.
Este artigo pode ter sido elaborado com o apoio de ferramentas de inteligência artificial. Ver politica de IA
Podes apoiar o projeto ou partilhar este artigo com um clique. Pelo menos aqui há uma ação útil de verdade.