// FRANDROID — LINUX & OPEN SOURCE
Une nouvelle vulnérabilité Linux permet de s’identifier avec n’importe quel mot de passe
Décidément, il semblerait que les briques les plus fondamentales de l’informatique moderne soient toutes pétries de failles de sécurité. À peine remis de la faille PHP qui a mis à terre un bon nombre de serveurs web, voilà que c’est le protocole SSH qui fait des siennes, remarque Ars Technica.
C’est plus spécifiquement une certaine implémentation de cet outil qui est concernée, notamment celle utilisée par Alpine Linux, une distribution largement déployée sur certains NAS, routeurs, objets connectés ou images Docker.
Utilisé pour se connecter à une machine distante via la ligne de commande, le protocole SSH est extrêmement répandu dans le monde Linux. Son implémentation varie de système à système, mais, dans le cas qui nous intéresse, c’est l’interaction entre OpenSSH et musl, une bibliothèque C, qui est vulnérable. D’autres conditions doivent aussi être réunies (un mot de passe hashé via SHA256 ou SHA512 entre autres), mais ces dernières sont assez classiques sur les systèmes se reposant sur Alpine Linux.
Si ces conditions sont remplies, il suffit alors aux pirates de rentrer n’importe quel mot de passe de plus de 256 caractères et la connexion sera validée. De manière très simplifiée, cela se produit parce qu’un mot de passe de cette longueur provoque une erreur qui renvoie le caractère « * » au système, qui est incidemment le signe utilisé pour les comptes ne se reposant pas sur un mot de passe.
Les développeurs et développeuses derrière Alpine Linux et musl ont déjà déployé un correctif qu’il est conseillé d’installer le plus rapidement possible. Si vous ignorez si certains de vos appareils utilisent Alpine Linux, le meilleur conseil est de mettre à jour vos applications Docker, votre NAS, votre télévision connectée ou votre routeur vers la dernière version du système.
La faille est particulièrement gênante, car elle est facile à exploiter. Si peu de machines sont effectivement vulnérables, il est aisé de scanner celles qui le sont et les bombarder de mots de passe trop longs pour voir si elles ouvrent l’accès au système sous-jacent.
Pour aller plus loin
Linux : une faille critique expose les serveurs à distance
La faille est d’ailleurs restée cachée pendant une dizaine d’années avant d’être découverte par Ozgun Kultekin et son armée d’agents d’IA qui a, de son propre aveu, « balancé 17 600 connexions suspectes sur le site. Hachages suspects, comptes piratés, mots de passe bien trop longs. »
Envie de retrouver les meilleurs articles de Frandroid sur Google News ? Vous pouvez suivre Frandroid sur Google News en un clic.
Pour nous soutenir gratuitement, dites simplement à Google d’ajouter Frandroid à vos sources préférées en cliquant ici.