알파인 리눅스가 특정 설정에서 OpenSSH 암호 인증을 우회할 수 있는 취약점을 경고했다. 공격자는 SSH 포트에 접속해 257~1024바이트 길이의 암호를 한 번 보내면 암호 필드가 별표(*)인 계정에 암호를 몰라도 로그인할 수 있다고 알파인 리눅스는 5일 보안 공지에서 밝혔다.
알파인 리눅스는 PAM을 사용하지 않거나 비활성화한 OpenSSH에서 암호 로그인이 켜져 있고, 별표 계정과 $5$ 또는 $6$ 형식의 암호 해시를 가진 다른 로컬 계정이 함께 있는 경우 영향을 받는다고 설명했다.
알파인 리눅스는 수정 패키지를 포함한 안정 버전 3.21.10, 3.22.8, 3.23.8, 3.24.4를 배포했다. 업데이트 뒤 실행 중인 sshd를 재시작하고, 즉시 업데이트하기 어려우면 암호 로그인을 비활성화하라고 안내했다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular