Критическая уязвимость в OpenSSH на Alpine Linux

В OpenSSH Server на Alpine Linux нашли критическую уязвимость CVE-2026-123158. При определенных настройках она позволяет злоумышленнику подключиться к серверу без пароля или SSH-ключа, а в некоторых случаях — получить права root.

Проблема затрагивает Alpine Linux версий 3.16–3.24 и ветку edge. Разработчики уже выпустили исправления, поэтому рекомендуем проверить установленные пакеты и обновить OpenSSH.

Когда уязвимость опасна

Для атаки должны совпасть несколько условий:

• OpenSSH работает без PAM.

• На сервере разрешен вход по паролю.

• Есть учетная запись без пароля или другой пользователь, для которого пароль не установлен.

• SSH доступен атакующему по сети.

В такой ситуации вместо пароля можно отправить специально подготовленную строку длиной от 257 до 1024 байт и получить доступ к учетной записи. Если у пользователя есть соответствующие права через sudo или doas, под угрозой может оказаться весь сервер.

Если вход по паролю отключен, этот способ атаки не работает.

Что нужно сделать

1. Обновите OpenSSH

Установите доступные обновления:

    

      

    
    apk upgrade -U -a
  

2. Перезапустите SSH

    

      

    
    rc-service sshd restart
  

Это важно: обновленный пакет сам по себе не заменяет уже запущенный процесс OpenSSH.

3. Проверьте версию пакета

    

      

    
    apk info -v openssh
  

Убедитесь, что для вашей ветки Alpine установлена версия с исправлением.

4. Проверьте сервер на подозрительную активность

Посмотрите журнал /var/log/messages. Особое внимание — записям Accepted password for для пользователей без установленного пароля.

Также проверьте, не появились ли неожиданные изменения в учетных записях, файлах сервера и authorized_keys.

Исправления доступны в Alpine Linux 3.21.10, 3.22.8, 3.23.8 и 3.24.4. Для веток 3.16–3.20 разработчики выпустили отдельные исправленные пакеты OpenSSH.

Если обновиться пока не получается

Отключите вход по паролю в настройках SSH:

    

      

    
    PasswordAuthentication no
  

После изменения настроек перезапустите SSH. Но сначала убедитесь, что вход по ключу работает. Текущую сессию лучше не закрывать, пока не проверите новое подключение, иначе можно потерять доступ к серверу.

Подробнее об уязвимости и исправлениях в блоге Alpine Linux →