Cyber ·
OpenSSH com musl libc: solução alternativa para desvio da autenticação por senha é questionada
Na lista oss-sec, Martin Steigerwald pergunta se a solução alternativa do OpenSSH basta para o desvio da autenticação por senha com musl libc e se esse comportamento pode causar outros problemas de segurança.
Em 6 de novembro, Martin Steigerwald publicou na lista oss-sec uma resposta à discussão intitulada sobre o desvio da autenticação por senha no OpenSSH quando compilado com musl libc. O texto é uma tradução automática do conteúdo do feed da lista. Na mensagem citada, Matt Johnston afirma que, se as aplicações não verificam um ponteiro NULL, elas devem falhar. Steigerwald concorda com a ideia, mas questiona se a solução alternativa no OpenSSH resolve de fato o problema e se o comportamento pode gerar falhas de segurança em outros componentes. Ele reconhece que a solução alternativa é importante, mas pergunta se ela é suficiente. O material não informa número de CVE, versões afetadas, nem detalhes de exploração, e não apresenta uma conclusão técnica. Para avaliar o impacto, consulte a mensagem original na lista oss-sec, as notas de versão do OpenSSH e os avisos do fornecedor da sua distribuição Linux. Se você usa musl libc, verifique se a versão instalada inclui a correção ou a solução alternativa indicada pelo fornecedor. Como medida geral, mantenha o OpenSSH atualizado, prefira autenticação por chave, restrinja o acesso SSH por rede e monitore tentativas de login.
Fonte original: Re: “sshole”: desvio da autenticação por senha no OpenSSH com musl libc