Une vulnérabilité informatique majeure, restée invisible pendant plus de dix ans, a été identifiée au sein de l'outil OpenSSH. Cette faille permettait à un utilisateur malveillant de s'introduire sur des serveurs Linux verrouillés en saisissant simplement un mot de passe d'une longueur comprise entre 257 et 1 024 caractères.
La genèse d'une erreur de calcul
Le problème trouve sa source dans une interaction imprévue entre deux composants logiciels. Depuis 1980, la convention Unix veut qu'un compte verrouillé soit identifié par un astérisque, une valeur impossible à générer par les fonctions de hachage classiques. Cependant, en 2012, la bibliothèque logicielle musl a modifié son comportement : en cas d'échec de calcul sur un mot de passe dépassant 256 caractères, elle renvoie également un astérisque. En 2016, une mise à jour d'OpenSSH visant à masquer le temps de réponse des serveurs a conduit le système à effectuer des calculs sur des comptes verrouillés en utilisant les paramètres d'autres comptes valides. La convergence de ces deux mécanismes a créé une équivalence mathématique permettant de valider une connexion sans mot de passe réel.
Les systèmes vulnérables identifiés
La faille, baptisée « sshhole » par le chercheur Ozgun Kultekin, ne concerne pas l'ensemble des distributions Linux. Elle cible spécifiquement les systèmes utilisant la bibliothèque musl, tels qu'Alpine Linux, OpenWrt, Buildroot ou Yocto. Ces environnements sont particulièrement répandus dans les conteneurs Docker et les appareils embarqués. Les systèmes utilisant PAM (Pluggable Authentication Modules), comme Debian, Ubuntu ou Fedora, ne sont pas exposés à cette vulnérabilité. Le risque est jugé particulièrement élevé pour les images Alpine déployées sur des plateformes cloud comme AWS ou Azure, où le compte administrateur peut être compromis sans authentification préalable.
Mesures correctives pour les administrateurs
Bien qu'aucune exploitation active de cette faille n'ait été signalée à ce jour, la découverte souligne la fragilité des infrastructures critiques face à des erreurs de conception logicielle cumulées. Pour remédier à cette vulnérabilité, les administrateurs système sont invités à mettre à jour leurs serveurs vers la version OpenSSH 10.6p2, publiée début novembre. À titre de mesure de sécurité immédiate, il est également recommandé de désactiver totalement la connexion par mot de passe sur les serveurs exposés, privilégiant ainsi les méthodes d'authentification par clés cryptographiques, plus robustes face à ce type d'intrusion.