OpenSSH 인증 우회 취약점 발견... 알파인 리눅스 보안 업데이트 발표

알파인 리눅스가 11월 5일 OpenSSH에서 유효한 비밀번호 없이 인증을 우회할 수 있는 보안 취약점에 대한 권고를 발표하고 보안 업데이트 적용을 권고했다. 해당 취약점은 CVE-2026-123158로 추적되며 CVSS 3.1 점수는 8.1이다.

영향을 받는 시스템은 musl C 라이브러리를 사용하고 PAM 인증이 비활성화된 OpenSSH 서버로, 알파인 리눅스의 기본 OpenSSH 서버 구성이 여기에 해당한다. 공격자가 SSH 포트에 접근할 수 있고 특정 계정 조건이 충족되면 비정상적으로 긴 비밀번호를 입력해 인증을 우회할 수 있다.

알파인 리눅스 측은 해당 취약점이 OpenSSH 10.6p2에서 수정됐으며, 버전별 보안 패키지를 제공한다고 밝혔다. 영향을 받는 알파인 리눅스 버전은 3.16부터 3.24까지와 edge 버전이다.

관리자는 업데이트를 적용한 뒤 SSH 서비스를 재시작해야 한다. 임시 완화 조치로 공개 키 등 대체 인증이 구성된 경우 PasswordAuthentication no를 설정할 수 있다. 다만 비밀번호 로그인이 비활성화된 계정도 서버 내 다른 계정이 특정 형식의 비밀번호 해시를 보유하고 있으면 여전히 공격 대상이 될 수 있다.

이번 권고는 dailysecu.com이 보도했다.