Faille *sshole OpenSSH : 256 caractères pour entrer sur musl

Les responsables d'Alpine ont averti qu'un attaquant capable d'atteindre le port SSH peut se connecter sans connaître aucun mot de passe : « Il suffit d'une seule connexion, ça marche à chaque fois, et sans réessais », ont-ils déclaré. Kultekin prévient spécifiquement que les images cloud officielles d'Alpine sur AWS et Azure embarquent un compte par défaut vulnérable nommé 'alpine' avec des privilèges doas sans mot de passe, ce qui pourrait donner aux attaquants un accès root.

L'exposition pourrait être large. L'image de base d'Alpine sur Docker Hub a dépassé le milliard de téléchargements, et la distribution est largement utilisée dans les routeurs, les téléviseurs intelligents et les automates industriels difficiles ou impossibles à corriger. Detectify note que Shodan recense environ 22 millions de systèmes avec SSH ouvert sur le port 22 ; seule une fraction remplit les conditions, mais les tester est rapide et peu coûteux.

Le lieu réel du bug ne fait pas consensus. OpenSSH affirme considérer la cause profonde comme extérieure à sshd, même si elle est exploitable via sshd. Le développeur de musl Rich Felker rétorque qu'il ne s'agit « pas d'un bug de musl, mais d'un usage erroné par l'appelant », et indique que musl prévoit de modifier ce mécanisme dans une prochaine version. Aucun identifiant CVE n'a encore été attribué.

Les administrateurs Alpine doivent mettre à jour OpenSSH avec la commande apk upgrade openssh. Si vous ne pouvez pas corriger immédiatement, désactivez l'authentification SSH par mot de passe en réglant PasswordAuthentication no dans la configuration de votre serveur SSH, puis redémarrez le service. OpenSSH 10.6p2 contient aussi le correctif côté OpenSSH.

Pour repérer des traces d'exploitation sur Alpine, cherchez dans vos journaux avec grep "Accepted password" /var/log/messages. Si vous voyez une connexion par mot de passe réussie pour le compte alpine, vérifiez si ce compte a l'authentification par mot de passe désactivée avec grep '^alpine:' /etc/shadow. Si le champ du mot de passe affiche * alors que les journaux montrent une connexion par mot de passe réussie, la faille a peut-être été exploitée.

La plupart des particuliers en Tunisie utilisent Windows, macOS, Android ou des distributions Linux basées sur glibc comme Ubuntu, Debian et Fedora — aucune n'est touchée par cette faille OpenSSH. Si vous n'avez jamais entendu parler d'Alpine Linux ni de musl, le risque concret pour vos appareils personnels est proche de zéro.

Les personnes qui doivent agir dès maintenant sont les administrateurs système, les hébergeurs et les développeurs qui font tourner Alpine dans des conteneurs, des instances cloud ou du matériel embarqué. Les images Alpine touchées sur AWS et Azure ainsi que le compte alpine sans mot de passe font des déploiements cloud le cas le plus urgent. Comme toujours avec les avis de sécurité, aucun impact propre à la Tunisie ni déclaration d'un fournisseur local n'a été annoncé : traitez donc cela comme une alerte mondiale à corriger sans délai, et non comme une urgence régionale.