Faille OpenSSH-musl : le correctif Alpine exige un redémarrage

Le 5 novembre 2026, OpenSSH a publié la version 10.6p2, qui intègre un contournement d’une faille d’authentification touchant certaines configurations Linux avec musl. Sur Alpine, installer le paquet corrigé ne suffit pas : il faut aussi redémarrer sshd pour que le service actif utilise la correction. OpenSSH Alpine Linux

Ce que corrige OpenSSH 10.6p2

Le contournement vise un cas précis : un serveur OpenSSH utilisant musl, sans PAM, et configuré pour accepter l’authentification par mot de passe. OpenSSH situe l’origine du problème hors de sshd, tout en intégrant le contournement dans le daemon. Rich Felker, auteur de musl, décrit plutôt le problème comme une mauvaise utilisation de la bibliothèque par le programme appelant. OpenSSH Avis de Rich Felker

Les conditions précises décrites par Alpine

Pour le cas documenté par Alpine, plusieurs conditions doivent être réunies : le serveur doit utiliser OpenSSH avec musl et sans PAM, et PasswordAuthentication doit être réglé sur yes. Le champ de mot de passe du compte visé doit contenir *, et un autre compte local doit avoir un hash commençant par $5$ ou $6$.

Avec ces prérequis, un mot de passe de 257 à 1 024 octets peut provoquer le contournement. Alpine indique qu’une seule connexion SSH suffit, sans nouvelle tentative. Avis de sécurité d’Alpine

Vérifiez la configuration effective du serveur : un compte sans mot de passe ne signifie pas que l’authentification par mot de passe est désactivée pour SSH.

Alpine indique que cette faille ne concerne pas les systèmes configurés avec PasswordAuthentication no, les installations OpenSSH utilisant PAM avec UsePAM yes, les comptes dont le champ de mot de passe contient !, ni les conteneurs qui n’exécutent pas sshd.

Paquets corrigés pour chaque branche Alpine

Alpine a publié des révisions corrigées pour edge et ses branches 3.16 à 3.24. La révision à installer dépend de la branche utilisée :

Après la mise à jour, redémarrez le service avec rc-service sshd restart. Alpine précise que l’installation du paquet ne remplace pas le daemon déjà en cours d’exécution. Si la mise à jour n’est pas possible, l’avis recommande de désactiver l’authentification par mot de passe, puis de redémarrer sshd. Avis de sécurité d’Alpine

Images tiny-cloud : une exposition conditionnelle

Alpine décrit les artefacts tiny-cloud officiels aux formats qcow2, VHD et AMI des versions 3.18.11 à 3.24.3. Ils contiennent un compte alpine dont le champ de mot de passe vaut *, ainsi que doas sans mot de passe. Selon Alpine, ces images sont sûres au premier démarrage ; elles peuvent réunir les conditions de la faille lorsqu’un hash $6$ est présent sur la machine et que les autres prérequis sont également remplis. Après une connexion réussie au compte alpine, doas peut donner accès à root. Avis de sécurité d’Alpine

Vérifier les journaux après la mise à jour

Alpine conseille d’examiner /var/log/messages à la recherche d’entrées Accepted password associées à des comptes censés ne pas avoir de mot de passe. L’avis recommande aussi de contrôler les comptes, les règles doas, les fichiers et les clés autorisées. Si une connexion de ce type ne peut pas être exclue, Alpine conseille de traiter le système comme compromis.