OpenSSH und Alpine Linux warnt vor nischigem, aber gravierendem Bug

Das OpenSSH-Team warnt vor einem schwerwiegenden Fehler, der allerdings nur in bestimmten, eher seltenen Konfigurationen auftritt. Betroffen sind Linux-Systeme, die die C-Standardbibliothek musl einsetzen und zur passwortbasierten Authentifizierung nicht auf PAM setzen (Pluggable Authentication Modules). Auf diesen Systemen lässt sich die Authentifizierung per Passwort offenbar umgehen, sodass Angreifer auch ohne Kenntnis des Passworts Zugriff erhalten können.

Der OpenSSH-Entwickler Damien Miller warnt, dass Nutzer solcher Systeme „SOFORT“ die passwortbasierte Anmeldung abschalten (PasswordAuthentication=no und sshd neu starten) oder SSH einstweilen komplett deaktivieren sollten. Betroffen ist unter anderem Alpine Linux, dessen Entwickler die gleiche Warnung veröffentlichten. Abhilfe schafft die heute veröffentlichte Version 10.6p2 von OpenSSH. Für Alpine ist das Update bereits verfügbar, aber andere Distributionen und viele Download-Server von OpenSSH liefern aktuell noch die Vorgängerversion 10.6p1 aus.

Fehler liegt wohl nicht in OpenSSH

Die Ursache des Problems ist nach Ansicht der OpenSSH-Entwickler nicht in OpenSSH selbst zu suchen. Sie sehen sich aber in der Lage, den Fehler zügig zu entschärfen, weshalb sie schnell ein neues Release ihrer Software veröffentlicht haben. (Samt einiger weiterer Fehlerbehebungen, die für den 10.6-Zweig von OpenSSH bereits vorlagen.) Offenbar erfuhr das Projekt selbst erst gestern von dem Problem, als ein Mitarbeiter des KI-Security-Unternehmens Wakefield es an OpenSSH meldete.

Die OpenSSH- und Alpine-Entwickler beeilten sich so sehr, weil sie befürchten, dass andere – böswillige – Akteure den Fehler dank KI-Unterstützung ebenfalls zeitnah entdecken könnten. Diese Gefahr ist sicher nicht aus der Luft gegriffen: Solche Fälle gab es in letzter Zeit mehrfach. Betroffene Linux-Nutzer sollten schnellstmöglich updaten und bis dahin passwortbasierte SSH-Zugänge deaktivieren. Ohnehin ist die Authentifizierung über SSH-Keys in aller Regel zu bevorzugen.

(syt)