OpenSSH a publié la version 10.6p2 en urgence afin de bloquer une vulnérabilité critique sur certains systèmes Alpine Linux. Le correctif est important pour les serveurs qui autorisent encore les mots de passe et utilisent la bibliothèque musl sans PAM.
Une configuration particulière mais dangereuse
L’attaque ne fonctionne pas contre toutes les machines Linux. Debian, Ubuntu et Fedora ne sont pas touchés par ce scénario. En revanche, plusieurs images Alpine et certains systèmes embarqués doivent être vérifiés rapidement.
Le risque apparaît lorsqu’un compte prévu pour fonctionner uniquement avec une clé SSH coexiste avec un compte local utilisant un mot de passe classique. Une valeur volontairement trop longue peut provoquer une erreur mal interprétée par le mécanisme d’authentification.
Comment appliquer le correctif
Les administrateurs doivent installer les mises à jour de sécurité fournies par Alpine ou déployer OpenSSH 10.6p2. Il faut ensuite redémarrer le service SSH, car la mise à niveau du paquet ne remplace pas automatiquement le processus déjà en mémoire.
Que faire si la mise à jour doit attendre ?
La mesure temporaire la plus efficace consiste à désactiver entièrement l’authentification par mot de passe. Avant toute modification, il faut confirmer qu’une connexion par clé fonctionne dans une nouvelle session et conserver la session d’administration actuelle ouverte.
Rechercher des traces d’intrusion
- contrôler les connexions acceptées par mot de passe ;
- identifier les accès visant des comptes normalement limités aux clés ;
- examiner les nouveaux utilisateurs et les changements de privilèges ;
- vérifier les clés SSH ajoutées récemment ;
- révoquer les secrets si un accès suspect est confirmé.
Aucune exploitation active n’était publiquement confirmée au moment des avis. Toutefois, la simplicité du scénario et la disponibilité des détails techniques justifient une correction immédiate.
