hands_of_cat

OpenSSHとmusl libcの組み合わせで、パスワード認証を禁止したはずのアカウントに任意の長いパスワードでログインできる欠陥が見つかった。Alpine Linuxなどの特定構成が対象で、rootや公開鍵専用ユーザーにも影響する。OpenSSH 10.6p2で修正された。 研究者Özgün Kültekin氏によると、muslのcrypt関数は、256バイトを超える長いパスワードを処理すると失敗し、「*」を返す。この「*」が、パスワード認証を禁止したアカウントの設定値「*」と一致するため、本来は拒否されるはずのログインが成功してしまう。 OpenSSHの2016年の修正で、パスワードを持たないアカウントにも別ユーザーのソルトを使い、この挙動が認証に影響したという。 条件はmusl libcライブラリを使っている環境でPAMを使わず、パスワードログインが有効で、Linuxのパスワード情報に「*」が設定されているアカウントと実際のパスワードを持つ別アカウントが存在すること。257～1024文字の任意のパスワードが通る。 Alpineの公式AWS・Azureイメージでは、初期ユーザーがパスワードなしでdoasを使えるという。約1万7600通りのログイン検証で発見された。 sshhole.com/