OpenSSHとmusl-libcの欠陥でSSH認証回避。Alpineに影響

米Tom's Hardwareは、OpenSSHとmusl-libcにある欠陥の組み合わせにより、Alpine Linuxをはじめとするディストリビューションで、256文字を超える文字列をパスワードとして入力すれば誰でもログインできてしまうと報じた。記事のURLによると、OpenSSHとmusl-libcの双方で緊急の修正が公開されており、数百万規模のシステムが対象として即時のパッチ適用を促している。

musl-libcは、glibcに代わる軽量なC標準ライブラリで、Alpine Linuxが採用していることで知られる。Alpineはコンテナのベースイメージとして広く使われており、影響範囲はサーバーだけでなくコンテナ環境にも及ぶとみられる。パスワードの長さが一定を超えたときの処理に問題があり、本来は失敗すべき認証が通ってしまう構図とみられるが、具体的な仕組みは見出しからは分からない。

どのバージョンが影響を受けるのか、パスワード認証を無効にしている環境でも影響があるのかといった条件は、各プロジェクトやディストリビューションの公式情報で確認する必要がある。

SSHでの認証回避はサーバーの乗っ取りに直結しうるため、優先度は高い。特にインターネットにSSHを公開している環境では、早急な確認が求められる。