PAM 인증을 사용하지 않고 SSH 비밀번호 로그인이 켜진 상태에서, 비밀번호 필드가 *인 계정과 $5$ 또는 $6$ 형식의 비밀번호 해시를 가진 다른 계정이 함께 있는 알파인 리눅스(Alpine Linux) 서버에서는 키 전용 계정도 노출될 수 있다고 알파인 리눅스는 5일 보안 권고문에서 경고했다.
OpenSSH 프로젝트는 5일 릴리스 노트에서 PAM이 비활성화된 musl 기반 Linux 시스템의 비밀번호 인증 우회 대응책을 배포했다고 밝혔다. 알파인 리눅스는 같은 보안 권고문에서 OpenSSH를 업데이트하고 sshd를 재시작하라고 안내했으며, 패키지만 업데이트하면 실행 중인 데몬에는 수정 사항이 적용되지 않는다고 설명했다. 가상자산 사업자도 알파인 리눅스 기반 SSH 서버를 운영한다면 업데이트와 재시작 여부를 확인해야 한다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular