Alpine Linux et OpenSSH corrigent une faille d'une gravité sans précédent Cette faille de sécurité dangereuse sous Linux doit être corrigée dès que possible. Points clés à retenir sur la faille qui touche Alpine Linux et OpenSSH Un bug ancien affecte Alpine Linux et quelques autres distributions Linux. Vous devez appliquer le correctif dès que possible, puis redémarrer le logiciel corrigé. Le scénario cauchemardesque par excellence pour un serveur Linux, c’est quand il suffit à un pirate d’accéder au port Secure Shell (SSH) du serveur, d’y entrer sans encombre et d’en prendre le contrôle. C’est ce qui est arrivé à Alpine Linux. Pour aggraver encore la situation, cela s’est produit quelques jours seulement après qu’Alpine Linux eut échappé de justesse à une faille de sécurité majeure affectant son implémentation de GitLab. Quelle est la gravité de la situation ? Elle est on ne peut plus grave. Alpine Linux a expliqué dans son avis de sécurité que si un attaquant parvient à accéder au port SSH d’un serveur vulnérable, il peut s’introduire « en une seule connexion », et que l’attaque « fonctionne à chaque fois, sans nécessiter de nouvelles tentatives ». Comme l’a expliqué l’ingénieur en sécurité Gregory Bryant dans son message LinkedIn : "La plupart des contournements d’authentification proviennent de chaînes logiques complexes, mais la vulnérabilité d’OpenSSH sur Alpine Linux découverte hier (CVE-2026-123158) se résume à un seul caractère : *.” Si vous utilisez Alpine Linux (ou une autre distribution basée sur musl) avec le paquet openssh-server par défaut (sans modules d’authentification enfichables (PAM)) et l’authentification par mot de passe (PasswordAuthentication) activée, un attaquant peut se connecter à des comptes dont le mot de passe est désactivé, ou à des comptes fonctionnant uniquement avec une clé, simplement en envoyant un mot de passe d’une longueur comprise entre 257 et 1 024 octets." Alpine Linux n’est pas le seul système d’exploitation à utiliser musl, une version allégée de la bibliothèque C standard (libc). Parmi les autres systèmes d’exploitation qui utilisent musl et sont potentiellement vulnérables, on peut citer Adélie Linux, Void Linux, Sabotage Linux, OpenWrt (une variante d’Android) et le projet Yocto, utilisé pour créer des distributions Linux embarquées. Wind River, qui produit la distribution Linux embarquée commerciale Wind River Linux, se penche également sur la question. Un représentant de la société m’a déclaré : « Wind River prend la sécurité très au sérieux. Nous examinons activement la vulnérabilité signalée et évaluons son impact potentiel. Nous prendrons les mesures appropriées si nécessaire. » En coulisses, lorsque OpenSSH est compilé sans PAM, il vérifie les mots de passe en hachant la tentative de mot de passe à l’aide de la fonction crypt() de la bibliothèque C. Il compare ensuite le résultat au champ de mot de passe stocké pour le compte. Jusqu’ici, tout va bien. Debian, Ubuntu, Fedora ne sont donc pas concernés Mais lorsqu’une clé dépasse 256 octets, la fonction crypt() de musl renvoie la chaîne * comme indicateur d’erreur. C’est également ce que contient le champ « mot de passe » pour tout compte sans mot de passe, tel qu’un compte fonctionnant uniquement avec une clé. Ainsi, le « hachage » correspond, la connexion aboutit et l’attaquant parvient à s’introduire dans le système. Pour exploiter cette faille, un attaquant n’a besoin que du nom d’un tel compte. Il doit également disposer d’au moins un autre compte sur la machine dont le hachage du mot de passe comporte 5 ou 6 caractères, puis envoyer un mot de passe de 257 à 1 024 octets. Selon Alpine, un seul utilisateur disposant d’un mot de passe suffit pour rendre accessible tous les comptes sans mot de passe. Sur les systèmes Linux utilisant la fonction crypt() de glibc — c’est-à-dire la quasi-totalité d’entre eux —, une telle tentative renverrait la valeur NULL en cas d’erreur, ce que sshd rejette d’emblée. Debian, Ubuntu, Fedora, etc., ne sont donc pas concernés. Selon *sshole, le groupe qui a mis au jour le problème, il s’agit d’un effet secondaire qui passait inaperçu depuis 2016. Alpine a indiqué que toutes les versions qu’il a vérifiées sont concernées : les versions 3.21 à 3.24, la branche « edge », ainsi que les anciennes branches 3.16 à 3.20. Pour qu’une vulnérabilité soit exploitable, les conditions suivantes doivent être réunies : Le paquet openssh-server, compilé sans PAM, ou openssh-server-pam avec UsePAM désactivé. Le paramètre PasswordAuthentication défini sur « yes », ce qui correspond à la valeur par défaut d’OpenSSH. Un compte dont le champ mot de passe contient * et un autre compte dont le hachage est 5 ou 6. Dans la plupart des cas, l’utilisateur root n’est pas directement exposé. Il est fourni sous la forme root:* dans l’image de base depuis environ la version Alpine 3.16, mais le paramètre par défaut PermitRootLogin prohibit-password d’OpenSSH le bloque. Un autre compte pouvant accéder aux privilèges root, par exemple via doas, offre tout de même à un attaquant un moyen d’accéder à root. Alpine a identifié ses images officielles « tiny-cloud » comme étant particulièrement vulnérables Alpine a identifié ses images officielles « tiny-cloud », versions 3.18.11 à 3.24.3, comme étant particulièrement vulnérables. Celles-ci sont fournies avec un utilisateur « alpine » dont le champ mot de passe est vide (*) et dont l’authentification via doas ne nécessite pas de mot de passe. Elles sont sécurisées au premier démarrage, mais deviennent exploitables dès qu’un hachage 6 existe sur la machine. Cela peut se produire lorsqu’un administrateur définit un mot de passe de console ou lorsque des données utilisateur ajoutent un utilisateur avec un mot de passe haché, ce qui signifie, en substance, dans tous les cas. Alpine précise que les éléments suivants ne sont pas concernés : Les systèmes sur lesquels l’authentification par mot de passe est désactivée. Les systèmes utilisant openssh-server-pam avec UsePAM défini sur « yes ». Les comptes verrouillés dont le champ « mot de passe » contient le caractère « ! ». Les images cloud configurées via cloud-init, qui écrit « PasswordAuthentication no ». Alpine a publié jeudi les versions 3.21.10, 3.22.8, 3.23.8 et 3.24.4 jeudi, avec le correctif OpenSSH parmi les modifications de sécurité. Elle a également publié des paquets corrigés pour chaque version depuis la 3.16. La prise en charge d’Alpine 3.21 a pris fin le 1er novembre. La version OpenSSH 10.6p2 qui vient d’être publiée résout le problème dans sshd. Les branches stables d’Alpine intègrent un correctif pour ce même problème. Vous devez exécuter la commande apk upgrade -U -a, puis redémarrer le démon avec rc-service sshd restart. Alpine a souligné que la mise à jour du paquet ne remplace pas le démon en cours d’exécution. Toute personne ne pouvant pas effectuer la mise à jour doit définir PasswordAuthentication no et redémarrer sshd, après s’être assurée que la connexion par clé fonctionne. Pour vérifier s’il y a eu une attaque, Alpine a conseillé aux administrateurs de rechercher dans /var/log/messages les lignes « Accepted password for » mentionnant un compte sans mot de passe. Il a également conseillé de vérifier l’utilisation du sous-exécuteur d’application OpenBSD (doas), ainsi que les utilisateurs, fichiers et clés d’autorisation récemment créés. « Si vous ne pouvez pas exclure une connexion, considérez la machine comme compromise. » Exactement ce dont vous aviez besoin pour votre week-end, je sais, mais voilà où nous en sommes. Android va intégrer ma fonctionnalité de suivi préférée d'iOS, à quoi faut-il s'attendre ? Galaxy Book6 Series : 10 raisons de choisir la performance Le guide de la migration écoresponsable vers Windows 11 IA locale : la nouvelle ère de l’Intelligence artificielle ? Le nouveau modèle de Thinking Machines s'impose comme leader dans le domaine de l'IA « open-weight » en Occident Un autre modèle concurrentiel développé hors de Chine pourrait bouleverser le paysage de la catégorie « open-weight ». Alpine Linux a réinstallé son serveur GitLab après avoir frôlé la catastrophe, ce que vous devriez vérifier au plus vite Un pirate a failli exploiter une faille présentant un niveau de gravité maximal. Voici ce qu'il faut savoir. PAR STEVEN VAUGHAN-NICHOLS | 06 NOVEMBRE 2026 OpenAI lance GPT-6 Cyber, une IA qui traque les failles avant les attaquants GPT-6 Cyber est un modèle qui repère des failles logicielles, vérifie qu’elles sont exploitables et propose des correctifs. Réservé à certains clients du programme Daybreak Red, il a trouvé 81 failles inédites dans Firefox. Linux Mint 27 sortira le mois prochain, et je l'apprécie déjà : nouvelles fonctionnalités et autres améliorations à venir Tout commence par un numéro de version inattendu : Linux Mint 27 au lieu de 24. Mais cette nouvelle version apporte bien plus de changements que cela. PAR STEVEN VAUGHAN-NICHOLS | 05 NOVEMBRE 2026 Linux pratique : essayez Spotifast, une alternative à Spotify Si vous en avez assez du programme officiel Spotify, il existe d'autres solutions. Voici en quoi ce logiciel gratuit est plus performant. Informatique pratique : mettez en place votre propre réseau sécurisé d’accès distant gratuit sur vos ordinateurs personnels Vous avez besoin d'accéder de manière simple et fiable à plusieurs machines de votre domicile ou de votre petite entreprise ? Avant de dépenser une fortune dans un VPN ou un autre service, essayez Tailscale. Le Framework 12 est le PC idéal pour les passionnés de bricolage, et un vrai bonheur pour les utilisateurs de Linux Je l'avoue : j'ai toujours été sceptique à l'égard des ordinateurs portables sous Linux, mais Framework m'a prouvé qu'on pouvait y arriver. Linux pratique : essayez Linksy, il est destiné au partage de fichiers, à la synchronisation du presse-papiers et à l'accès distant Avez-vous souvent besoin d’échanger des documents entre des ordinateurs tournant sous le système libre ? Pour simplifier la connexion, il n'y a pas mieux que cet utilitaire. Linux pratique : essayez cette distribution si votre ordinateur est peu puissant (genre 3 Go) Essora Linux est rapide et minimaliste, conçue pour une utilisation pratique sur du matériel modeste. Lors du test elle a tourné sur un PC équipé de seulement 3 Go de RAM ! Comment utiliser deux PC sur un seul écran, quelle que soit la marque de vos appareils C'est l'heure du « dual » : mettre en place une configuration avec un seul écran et deux ordinateurs est plus simple que vous ne le pensez. HDMI, DisplayPort, Thunderbolt : quelle connexion choisir pour vos écrans ? Les PC et les ordinateurs portables disposent de trois grands types de connexion pour les écrans. Lequel est le meilleur ? Défragmenter son disque : pourquoi ce réflexe d’hier est (presque) devenu inutile Longtemps incontournable, la défragmentation n’a presque plus lieu d’être : inutile sur un SSD, voire nuisible, elle ne se justifie plus que sur de vieux disques durs. Voici quand, et comment, la programmer sous Windows, macOS ou Linux.