OpenSSH na Alpine Linuxu: útočník se může přihlásit přes SSH bez znalosti hesla

Co se stalo

Projekt OpenSSH vydal 5. listopadu 2026 verzi 10.6p2. Podle poznámek k vydání jde o kritické bezpečnostní obejití chyby, která se týká linuxových systémů s knihovnou musl libc a vypnutým PAM. Útočník na nich může obejít ověření heslem. Vývojáři OpenSSH uvádějí, že příčina leží mimo sshd, ale zneužít se dá právě přes sshd, a proto ji ošetřili tam.

Chyba dostala označení CVE-2026-123158. Podle popisu v databázi NVD sshd chybně posoudí, jestli řetězec v záznamu účtu je otisk hesla. U některých nastavení účtů pak projde jakékoli heslo o délce zhruba 256 až 1024 znaků. Jako příklad takového systému NVD uvádí Alpine Linux. Ten se hojně používá jako základ kontejnerů Docker a malých virtuálních strojů.

Alpine Linux ve stejný den zveřejnil upozornění a opravené balíčky. Podle něj se útočník, který se dostane na port SSH, může přihlásit bez znalosti hesla.

Jak vážné to je

Útok funguje jen při souhře několika podmínek, proto není hodnocení nejvyšší. Pokud ale nastanou, útočník získá přístup do systému bez hesla. U kontejnerů a strojů dostupných z internetu je to vážné riziko.

Koho se to týká

Hlavně správců systémů s Alpine Linuxem, na kterých běží SSH server. Podle Alpine jsou dotčené podporované verze 3.21 až 3.24 a vývojová větev edge. Stejnou chybu mají i starší verze 3.16 až 3.20, které už běžně aktualizace nedostávají. Zranitelné mohou být i jiné distribuce s musl, které sestavují OpenSSH bez PAM.

Podle upozornění Alpine musí být splněno všechno z tohoto seznamu:

• přihlašování heslem je zapnuté (PasswordAuthentication yes, což je výchozí nastavení OpenSSH),
• používáte balíček openssh-server (bez PAM), nebo openssh-server-pam s nastavením UsePAM no; varianta s UsePAM yes dotčená není,
• v systému je účet, který má místo hesla hvězdičku * (například účty jen pro přihlášení klíčem, účty z adresářové služby nebo root v novějších základních obrazech, ten ale jen při PermitRootLogin yes),
• jiný místní účet má nastavené heslo s otiskem typu $5$ nebo $6$.

Alpine zvlášť upozorňuje na obrazy tiny-cloud pro cloud. Mají uživatele alpine s hvězdičkou místo hesla a s doas bez hesla. Zneužitelné se stanou ve chvíli, kdy na stroji přibude účet s heslem typu $6$.

Běžné desktopové distribuce jako Debian, Ubuntu nebo Fedora používají knihovnu glibc a PAM, popis chyby se na ně nevztahuje.

Co udělat

1. Zjistěte, kde máte Alpine se SSH serverem. Nezapomeňte na kontejnery, ve kterých běží sshd, a na cloudové stroje z obrazů Alpine.
2. Aktualizujte balíček openssh (apk upgrade openssh). Podle Alpine jsou opravené tyto verze:

3. Restartujte sshd. Aktualizace balíčku běžící proces nerestartuje, oprava začne platit až po restartu (rc-service sshd restart). U kontejnerů znovu sestavte obraz z aktualizovaného základu a kontejnery nasaďte znovu.
4. Když hned aktualizovat nemůžete, vypněte přihlašování heslem. V konfiguraci sshd nastavte:

PasswordAuthentication no

Pak sshd restartujte. Předtím si ověřte, že přihlášení klíčem funguje, a nechte otevřenou stávající relaci, abyste se nezamkli.

5. Zkontrolujte, jestli se už někdo nepřihlásil. Alpine doporučuje hledat v /var/log/messages záznamy Accepted password for u účtů, které heslo nemají. Projděte také použití doas, nové uživatele, nové soubory a klíče v authorized_keys. Pokud přihlášení útočníka nemůžete vyloučit, berte systém jako napadený a nainstalujte ho znovu z čistého obrazu.
6. Omezte přístup k SSH. Port SSH nemá být otevřený celému internetu, pokud to není nutné. Povolte ho jen z ověřených adres nebo přes VPN. To je obecné doporučení, ne pokyn výrobce.

Aktualizace

• 7. 11. 2026 – první verze článku.