OpenSSH 10.6p2: tarkista musl-järjestelmät menettämättä SSH-yhteyttä

Tilanne 8.11.2026. Portable OpenSSH 10.6p2 julkaistiin 5.11. Se sisältää kriittisen suojaavan kiertoratkaisun mahdolliseen salasanatodennuksen ohitukseen tietyissä musl-pohjaisissa Linux-järjestelmissä ilman PAMia. Opas auttaa ylläpitäjiä selvittämään tilanteen ja varmistamaan päivityksen sulkematta itseään ulos. Kyseessä ei ole oma tuote- tai hyökkäystesti. [1]

Mitkä järjestelmät on tarkistettava?

Ratkaisevaa on todella käynnissä oleva OpenSSH-palvelin, ei pelkkä jakelun nimi. Muslin tiedote nimeää OpenSSH:n ennen versiota 10.6p2, kun UsePAM=no ja PasswordAuthentication=yes; myös ilman PAM-tukea käännetyt paketit on huomioitava. Alpine on esimerkki, ei täydellinen laiteluettelo. OpenSSH:n ylläpitäjä rajaa tämän nimenomaisen vian ulkopuolelle muut kuin Linux-järjestelmät, glibc-Linuxin ja PAMia salasanatodennukseen käyttävät järjestelmät. Muslin tiedote rajaa Dropbearin ulkopuolelle. Tämä ei ole yleinen turvallisuustakuu. [2] [4]

Edellytykset ja valmisteltu palautus

Tarvitset valtuutetun ylläpito-oikeuden, paketin tai levykuvan dokumentaation sekä toimivan konsolin tai SSH:sta riippumattoman palautusyhteyden. Pidä vanha istunto avoinna, mutta älä luota siihen varmana palautuskeinona. Suojaa asetusten, sisällytettävien tiedostojen, pakettiversioiden ja palautusmateriaalin kopiot; älä kopioi palvelimen yksityisiä avaimia tukipyyntöihin tai keskusteluihin. Käytä laitteissa tuettua laiteohjelmistoa, älä vaihda yksittäisiä ohjelmatiedostoja sattumanvaraisesti.

Viisi vaihetta varmennettuun tilaan

  1. Kartoita palvelin: selvitä palvelinpaketti, libc, PAM-tuki ja aktiivinen palvelu pakettitiedoista, toimittajan tiedotteista ja levykuvan metatiedoista. ssh -V näyttää paikallisen asiakasohjelman, ei palvelinta. Jos tuettu, sshd -V näyttää kutsutun palvelintiedoston version, mutta ei todista käynnissä olevan prosessin käyttävän sitä. Arvioi takaisin sovitetut korjaukset toimittajan tiedotteesta, älä vain versionumerosta. [3]
  2. Lue voimassa olevat asetukset: käytä oikeaa palvelinohjelmaa ja palvelun todellista asetustiedostoa. sshd -t tarkistaa asetukset ja avaimet, sshd -T tulostaa vaikuttavat asetukset; huomioi oikeudet ja polut. Anna Match-säännöille sopivat -C-yhteysparametrit asennetun ohjeen mukaan. Arvioi PAM-käännöstuki, UsePAM ja salasanatodennus yhdessä. Kelvollinen asetustiedosto ei todista haavoittuvuuden korjausta. [3]
  3. Toimi heti, jos yhdistelmä on haavoittuva: musl suosittelee väliaikaisesti asetusta PasswordAuthentication no. Varmista ensin avainkirjautuminen erillisessä uudessa istunnossa ja pääsy palautuskonsoliin. Muuta sitten vaikuttavia asetuksia hallitusti, tarkista ne ja käynnistä palvelu uudelleen toimittajan ohjeella. Älä vaihda sokkona ilman turvallista yhteyttä: käytä konsolia/vastuuhenkilöä tai rajaa altistusta hyväksytyllä hätämenettelyllä. Älä ota PAMia tai muita menetelmiä kokeeksi käyttöön. [2] [4]
  4. Asenna toimittajan korjaus: käytä järjestelmälle tai laitteelle hyväksyttyä pakettia/levykuvaa, jossa on 10.6p2:n suojaus tai dokumentoitu takaisin sovitettu korjaus luotettavasta lähteestä. Valmistele palautus ja huoltoikkuna, ja uusi myös käynnissä oleva palvelu ohjeen mukaan. Älä oikaise lisäämällä vierasta pakettivarastoa, asentamalla omaa käännöstä päälle tai poistamalla suojauksia yleisesti käytöstä.
  5. Yhdistä uudelleen ja hyväksy: testaa uudessa yhteydessä avainkirjautuminen, tarvittavat ylläpito-oikeudet sekä SFTP- ja automaatiotehtävät. Tarkista paketti/levykuva, vaikuttavat säännöt ja lokit uudelleen; hyväksikäyttöyritystä ei tarvita. Sulje vanha istunto vasta hyväksynnän jälkeen. Palauta ongelmatilanteessa suojattu lähtötila hallitusti konsolista; älä jätä korjaamatonta ja uudelleen altistettua salasanapalvelua pysyväksi ratkaisuksi.

Näin varmistat onnistumisen

Työ on valmis vasta, kun dokumentoitu korjaus on käytössä käynnissä olevassa palvelussa ja uudet kirjautumiset sekä työnkulut onnistuvat. Asennettu paketti, tunnisteteksti tai vanha istunto ei riitä. Harkitse tilapäisesti suljetun salasanakirjautumisen palauttamista vasta korjauksen varmistuksen ja toiminnallisen hyväksynnän jälkeen. Pelkkien avainten käyttö voi olla sopivaa, mutta se on erillinen turvallisuuspäätös.

Rajoitukset ja lähteet

Opas ei muuta palvelimia automaattisesti eikä korvaa jakelun tiedotetta tai paikallista hyväksyntää. Vanhempi versionumero voi sisältää korjauksen; kaikki musl-laitteet eivät käytä OpenSSH:ta. Selvitä epäselvät käännökset ja korjaukset toimittajalta ja rajaa altistusta odotusaikana. Emme väitä yleispätevää CVE-tunnusta, havaittua hyökkäystä tai suoritettua siirtymää.