Faille OpenSSH sur musl : des comptes sans mot de passe accessibles depuis 2016 (en)

OpenSSH sur Linux musl (Alpine, OpenWrt, Buildroot, Yocto) accepte n’importe quel mot de passe de 257 à 1024 caractères pour un compte dont le champ est *, lorsque PAM n’est pas utilisé et que l’authentification par mot de passe est active. Sur les images AWS et Azure officielles d’Alpine, l’utilisateur alpine disposant de doas sans mot de passe permet d’obtenir root. Le correctif est inclus dans OpenSSH 10.6p2 (apk upgrade openssh), sinon il faut désactiver PasswordAuthentication.