{"id":26739,"date":"2026-11-06T08:00:00","date_gmt":"2026-11-06T08:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=26739"},"modified":"2026-11-13T14:24:51","modified_gmt":"2026-11-13T14:24:51","slug":"faille-openssh-contournement-connexion-alpine-linux","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/fr\/2026\/11\/06\/faille-openssh-contournement-connexion-alpine-linux\/","title":{"rendered":"Faille OpenSSH : contournement de l&rsquo;authentification sous Alpine Linux"},"content":{"rendered":"<p><strong>OpenSSH 10.6p2 corrige une faille de contournement de l&rsquo;authentification dans le serveur SSH sur les syst\u00e8mes musl comme Alpine Linux. Les serveurs concern\u00e9s fonctionnent sans PAM, avec connexions par mot de passe autoris\u00e9es et une combinaison de comptes sp\u00e9cifique. Apr\u00e8s la mise \u00e0 jour, il faut red\u00e9marrer sshd explicitement&nbsp;: le num\u00e9ro de version seul ne refl\u00e8te pas la protection de fa\u00e7on fiable.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">L&rsquo;essentiel en bref<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">OpenSSH 10.6p2 corrige une faille de contournement de l&rsquo;authentification sur les syst\u00e8mes musl.<\/strong> Sont concern\u00e9es les versions ant\u00e9rieures avec UsePAM=no et PasswordAuthentication=yes.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Sur Alpine, la configuration des comptes d\u00e9cide de la vuln\u00e9rabilit\u00e9.<\/strong> Il faut un compte cible avec * dans le champ du mot de passe et un autre compte local avec un hachage de mot de passe SHA-256 ou&nbsp;SHA-512.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">La mise \u00e0 jour implique un red\u00e9marrage de sshd.<\/strong> Les paquets Alpine corrig\u00e9s conservent d&rsquo;anciens num\u00e9ros de version&nbsp;: la seule r\u00e9f\u00e9rence ne r\u00e9v\u00e8le pas la vuln\u00e9rabilit\u00e9 de fa\u00e7on&nbsp;fiable.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">\u00c0 lire aussi&nbsp;:<\/strong> <a href=\"https:\/\/www.securitytoday.de\/2026\/11\/03\/oracle-stopft-1-209-luecken-mit-112-kritischen-patches\/\" target=\"_blank\" rel=\"noopener\">Oracle comble 1&nbsp;209 failles avec 112 correctifs&nbsp;critiques<\/a><\/p>\n<h2>Une faille avec des conditions&nbsp;pr\u00e9alables<\/h2>\n<p>Pour les administrateurs, le serveur SSH est la porte d&rsquo;entr\u00e9e habituelle vers les machines Linux distantes. Depuis le 5 novembre, on sait que cette porte s&rsquo;ouvre sur certains syst\u00e8mes sans mot de passe valide. OpenSSH 10.6p2 <a href=\"https:\/\/www.alpinelinux.org\/posts\/2026-11-05-openssh-password-authentication-bypass\/\" target=\"_blank\" rel=\"noopener\">emp\u00eache ce contournement de l&rsquo;authentification dans le serveur SSH<\/a>. Sont concern\u00e9es les versions d&rsquo;OpenSSH <a href=\"https:\/\/www.openwall.com\/lists\/musl\/2026\/11\/05\/4\" target=\"_blank\" rel=\"noopener\">ant\u00e9rieures \u00e0 10.6p2 sur une base musl<\/a>, \u00e0 condition que le serveur tourne avec UsePAM=no et PasswordAuthentication=yes.<\/p>\n<p>musl est une biblioth\u00e8que C standard compacte, c&rsquo;est-\u00e0-dire la couche de base par laquelle les programmes sous Linux appellent des fonctions \u00e9l\u00e9mentaires. Alpine Linux repose sur musl. PAM signifie Pluggable Authentication Modules et r\u00e8gle la connexion au moyen de modules interchangeables. Ce sont donc la configuration et la situation des comptes qui d\u00e9cident si une machine est vuln\u00e9rable.<\/p>\n<div data-element=\"definition_box\" style=\"background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;padding:20px 24px;margin:32px 0;box-shadow:0 2px 10px rgba(0,0,0,0.22);\">\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\"><strong>Qu&rsquo;est-ce que PAM&nbsp;?<\/strong> PAM signifie Pluggable Authentication Modules, une interface par laquelle les services Linux confient les connexions \u00e0 des modules interchangeables. Un serveur SSH n&rsquo;a ainsi pas besoin d&rsquo;effectuer lui-m\u00eame la v\u00e9rification du mot de passe. Sur Alpine, OpenSSH avec prise en charge de PAM se trouve dans le paquet openssh-server-pam et utilise PAM avec le r\u00e9glage UsePAM&nbsp;yes.<\/p>\n<\/div>\n<h2>Des comptes avec ast\u00e9risque dans le champ du mot de&nbsp;passe<\/h2>\n<p>Sur les syst\u00e8mes Alpine, la faille ne frappe que si plusieurs conditions se r\u00e9unissent. SSH fonctionne sans PAM et autorise les connexions par mot de passe. Le compte cible porte un ast\u00e9risque * dans le champ du mot de passe et n&rsquo;a ainsi aucun mot de passe utilisable. Un autre compte local poss\u00e8de un hachage de mot de passe selon la m\u00e9thode SHA-256 ou SHA-512. Dans ces conditions, les versions Alpine test\u00e9es, de la 3.16 \u00e0 la 3.24, sont concern\u00e9es, tout comme la branche de d\u00e9veloppement edge.<\/p>\n<p>Dans ses propres tests, <a href=\"https:\/\/blog.checkpoint.com\/exposure-management\/a-critical-ssh-password-bypass-hits-musl-based-linux\/\" target=\"_blank\" rel=\"noopener\">Check Point<\/a> a observ\u00e9 que l&rsquo;attaque supposait en outre un autre compte actif avec un vrai mot de passe. Un hachage de mot de passe enregistr\u00e9 n&rsquo;y suffisait pas \u00e0 lui seul. Font exception les syst\u00e8mes qui utilisent le paquet openssh-server-pam et ont activ\u00e9 UsePAM&nbsp;yes.<\/p>\n<h2>De l&rsquo;image cloud jusqu&rsquo;\u00e0&nbsp;root<\/h2>\n<p>Une cha\u00eene d&rsquo;attaque compl\u00e8te concerne les images avec tiny-cloud, l&rsquo;outil qui configure les instances Alpine dans le cloud au d\u00e9marrage. Si un hachage de mot de passe SHA-512 a \u00e9t\u00e9 cr\u00e9\u00e9 sur une image concern\u00e9e, la connexion en tant qu&rsquo;utilisateur alpine r\u00e9ussit. De l\u00e0, doas sans mot de passe m\u00e8ne aux droits root. doas est une alternative compacte \u00e0 sudo et permet aux utilisateurs d&rsquo;ex\u00e9cuter des commandes avec des droits \u00e9tendus. Le contournement de l&rsquo;authentification se transforme ainsi en contr\u00f4le total de l&rsquo;instance.<\/p>\n<h2>Le num\u00e9ro de version ne r\u00e9v\u00e8le pas le&nbsp;correctif<\/h2>\n<p>Celui qui v\u00e9rifie la situation dans son propre parc se heurte \u00e0 un probl\u00e8me d&rsquo;inventaire. Les paquets Alpine corrig\u00e9s conservent d&rsquo;anciens num\u00e9ros de version d&rsquo;OpenSSH. Pour Alpine 3.24, le paquet corrig\u00e9 porte par exemple la r\u00e9f\u00e9rence 10.3_p1-r2. La seule r\u00e9f\u00e9rence de version ne permet donc pas de dire de fa\u00e7on fiable si un syst\u00e8me est&nbsp;vuln\u00e9rable.<\/p>\n<p>Une requ\u00eate qui ne recherche qu&rsquo;OpenSSH 10.6p2 reste ainsi insuffisante sur Alpine. Pour une v\u00e9rification solide, il faut consid\u00e9rer ensemble la r\u00e9vision du paquet, les r\u00e9glages de sshd et les champs de mot de passe des comptes locaux.<\/p>\n<h2>Mesures imm\u00e9diates pour les&nbsp;administrateurs<\/h2>\n<p>Les administrateurs concern\u00e9s doivent mettre OpenSSH \u00e0 jour, puis red\u00e9marrer sshd explicitement. Lorsqu&rsquo;une mise \u00e0 jour n&rsquo;est pas possible imm\u00e9diatement, ils doivent d\u00e9finir PasswordAuthentication no et red\u00e9marrer \u00e9galement sshd. Les connexions par mot de passe au serveur SSH sont ainsi d\u00e9sactiv\u00e9es.<\/p>\n<p>Il faut aussi regarder en arri\u00e8re. Les administrateurs doivent rechercher dans le journal syst\u00e8me \/var\/log\/messages des connexions par mot de passe sur des comptes d\u00e9pourvus de mot de passe. Si une telle connexion ne peut \u00eatre exclue, la machine doit \u00eatre trait\u00e9e comme compromise.<\/p>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Questions fr\u00e9quentes<\/h2>\n<p class=\"st-faq-hint\">Chaque question est ferm\u00e9e. Un appui d\u00e9verrouille la&nbsp;r\u00e9ponse.<\/p>\n<details>\n<summary><strong>Dropbear est-il aussi concern\u00e9&nbsp;?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Non. Le contournement de l&rsquo;authentification touche OpenSSH. Dropbear, un serveur SSH alternatif compact, n&rsquo;est pas plus touch\u00e9 que les autres logiciels hors OpenSSH qui reposent sur des connexions par mot de&nbsp;passe.<\/p>\n<\/details>\n<details>\n<summary><strong>Les conteneurs sont-ils menac\u00e9s&nbsp;?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Les conteneurs sans sshd en cours d&rsquo;ex\u00e9cution sont exclus. Pour \u00e9valuer un conteneur, il faut donc d&rsquo;abord v\u00e9rifier si un serveur SSH y est&nbsp;actif.<\/p>\n<\/details>\n<details>\n<summary><strong>Existe-t-il une r\u00e9f\u00e9rence CVE&nbsp;?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Selon GitHub, la faille est r\u00e9pertori\u00e9e sous la r\u00e9f\u00e9rence <a href=\"https:\/\/github.com\/advisories\/GHSA-4fcc-vm97-gx3x\" target=\"_blank\" rel=\"noopener\">CVE-2026-123158<\/a>. L&rsquo;avis date du 5 novembre et est marqu\u00e9 comme non v\u00e9rifi\u00e9. Il d\u00e9crit le contournement de l&rsquo;authentification dans OpenSSH ant\u00e9rieur \u00e0 10.6p2 sous Linux avec musl et sans&nbsp;PAM.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=fr--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Source de l&rsquo;image : g\u00e9n\u00e9r\u00e9 par IA (novembre 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Une faille d&rsquo;OpenSSH contourne l&rsquo;authentification sous musl, comme sur Alpine Linux. Les paquets Alpine corrig\u00e9s gardent d&rsquo;anciens num\u00e9ros de version.","protected":false},"author":10,"featured_media":26460,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"OpenSSH","_yoast_wpseo_title":"Faille OpenSSH : contournement de l'authentification sous Alpine Linux","_yoast_wpseo_metadesc":"Une faille d'OpenSSH contourne l'authentification sous musl, comme sur Alpine Linux. Les paquets Alpine corrig\u00e9s gardent d'anciens num\u00e9ros de version.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[252],"tags":[],"class_list":["post-26739","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualites"],"evm_reading_time_minutes":5,"wpml_language":"fr","wpml_translation_of":26458,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26739","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=26739"}],"version-history":[{"count":16,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26739\/revisions"}],"predecessor-version":[{"id":27200,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26739\/revisions\/27200"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/26460"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=26739"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=26739"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=26739"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}