Bonjour,
https://www.openssh.org/releasenotes.html#10.6p2 est sorti. Au menu, la correction d'un bypass d'authentification. Dit autrement, si tu n'as pas 10.6p2, pas besoin de mot de passe pour entrer dans ton ssh.
Dis comme ça, c'est grave, mais nous allons relativiser.
- il existe un contournement: PasswordAuthentication=no
- ça impacte les systèmes qui 1/ n'utilisent pas la glibc, 2/ n'utilisent pas PAM, 3/ sont sous linux.
- la vulnérabilité n'a rien à voir avec sshd, mais il est très simple de l'éviter avec sshd, d'où le correctif. Un second correctif, qui corrigera la root cause sera sans doute disponible plus tard, dans un autre paquet (musl?)
Concrètement, ça va surtout impacter les systèmes alpine linux (surtout utilisé avec docker en fait).
On ne peut que saluer la rapidité des mainteneurs openssh (le bug a été remonté hier, ils ont publié aujourd'hui le correctif).
Par contre, c'est moche pour ceux qui utilisent alpine linux, yocto, etc…
https://sshhole.com/
Bref, patchez, patchez, patchez.
Envoyer un commentaire
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.