OpenSSH : une faille d'authentification critique corrigée dans la version 10.6p2

Alpine Linux a publié le 5 novembre un avis de sécurité consacré à une faille dans OpenSSH permettant de contourner l'authentification sans mot de passe valide sur les serveurs concernés, rapporte dailysecu.com. La vulnérabilité est suivie sous la référence CVE-2026-123158 et obtient un score de 8.1 sur l'échelle CVSS 3.1.

Les systèmes vulnérables sont les serveurs OpenSSH utilisant la bibliothèque C musl avec l'authentification PAM désactivée, ce qui correspond à la configuration par défaut du serveur OpenSSH d'Alpine Linux. Selon l'avis, un attaquant ayant accès au port SSH peut contourner l'authentification en saisissant un mot de passe anormalement long lorsque certaines conditions de compte sont réunies.

Les versions d'Alpine Linux concernées vont de la 3.16 à la 3.24, ainsi que la version edge. La faille est corrigée dans OpenSSH 10.6p2, et Alpine Linux met à disposition des paquets de sécurité pour chaque version. Les administrateurs doivent redémarrer le service SSH après avoir appliqué la mise à jour.

Contournement temporaire

À titre de mesure palliative, il est possible de positionner le paramètre PasswordAuthentication sur no, à condition qu'une autre méthode d'authentification, comme les clés publiques, soit configurée. L'avis précise toutefois que les comptes dont la connexion par mot de passe est désactivée peuvent tout de même être visés si un autre compte du serveur détient un hachage de mot de passe dans un format particulier.