Origine : bjCSIRT
Numéro : 2026/ALERTE/143
APERÇU :
Une vulnérabilité affectant OpenSSH sur Alpine Linux permettrait à un acteur malveillant non authentifié de contourner l’authentification SSH pour accéder aux systèmes affectés.
DESCRIPTION :
OpenSSH est une suite logicielle libre implémentant le protocole SSH (Secure Shell), utilisée pour l’administration à distance sécurisée des serveurs. Son composant serveur, sshd, assure l’authentification des utilisateurs par mot de passe ou par clé publique.
Ce produit est affecté par une vulnérabilité libellée CVE-2026-123158, résultant d’une mauvaise gestion des mots de passe dépassant 256 caractères lors du processus d’authentification SSH. En effet, l’échec du calcul de leur empreinte renvoie une valeur « * », identique à celle utilisée dans le fichier /etc/shadow pour les comptes dont l’authentification par mot de passe est désactivée. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant de contourner le mécanisme d’authentification et d’accéder à distance aux comptes concernés sur les systèmes affectés.
Elle est classée élevée avec un score de sévérité de 8.1 selon le CVSS V3.1.
IMPACT
- Contournement du mécanisme d’authentification ;
- Accès non autorisé ;
- Atteinte à la confidentialité des données ;
- Atteinte à l’intégrité des données et des systèmes.
SYSTEMES AFFECTÉS
Toutes les versions d’OpenSSH antérieures à 10.6p2 sur Alpine Linux .
MESURES À PRENDRE :
- Mettre à jour OpenSSH vers la version 6p2 ou vers la dernière version stable disponible ;
- Désactiver l’authentification par mot de passe et privilégier l’authentification par clé SSH ;
- Faire une revue des accès SSH et des comptes autorisés sur les serveurs concernés.
RÉFÉRENCES :