Bulletin d'alerte du CERT-FR

Résumé

Le 5 novembre 2026, OpenSSH a publié un avis de sécurité concernant une vulnérabilité qui permet à un attaquant de contourner l’authentification d'un service SSH.
En effet, sur les systèmes Linux qui utilisent la bibliothèque standard C musl, compilés sans support PAM ou avec PAM désactivé, un attaquant peut se connecter en fournissant deux mots de passe, dont le deuxième est d'une longueur strictement supérieure à 256 caractères et inférieure à 1024.

Lorsque les conditions sont réunies, cette vulnérabilité est triviale à exploiter. Il convient donc de vérifier si le système est dans une configuration vulnérable.

Indicateurs de compromission

Le chercheur, qui a découvert la vulnérabilité, recommande de vérifier la légitimité des connexions de chaque compte système avec une étoile (:*:) (mot de passe désactivé) dans /etc/shadow. Par exemple, la commande suivante peut être lancée en root : awk -F : '$2 == "*" {print $1}' /etc/shadow | xargs -r -I{} grep "Accepted password for {}" /var/log/messages

Mesure de contournement

Il est préférable de désactiver l'authentification par mot de passe ou, à défaut, de désactiver le service, si l'application du correctif est impossible.