Die Warnung kam am 5. November 2026, heute ist der 6. November: OpenSSH-Entwickler und das Alpine-Linux-Team melden eine Sicherheitslücke, durch die sich Angreifer unter bestimmten Bedingungen ohne Passwort anmelden können. Für Administratoren an der Uni Leipzig und anderswo heißt das vor allem: nicht erst gemütlich das Wochenende abwarten.

Gefährdet sind Linux-Systeme mit der C-Bibliothek musl, aktivierter Passwort-Authentifizierung und einer Passwortprüfung ohne PAM. Besonders relevant ist das für Alpine Linux, schlanke Server, Container mit SSH, Router, Embedded-Geräte, kleine virtuelle Maschinen, Hosting- und VPS-Umgebungen, CI/CD-Runner, Build-Server und Jump-Hosts. Die korrigierte OpenSSH-Version heißt 10.6p2; zum Zeitpunkt der Warnung lieferten einige Distributionen und Download-Server allerdings noch die verwundbare Version 10.6p1.

Ein Verbindungsversuch kann reichen

Ein Angreifer mit Netzwerkzugriff auf den SSH-Port braucht laut Alpine keinen langen Anlauf: Ein einziger Verbindungsversuch genügt. Voraussetzung ist, dass der Name eines Kontos mit Passwortfeld bekannt ist, mindestens ein anderes Konto einen Passwort-Hash mit $5$ oder $6$ besitzt und ein 257 bis 1024 Byte langes Passwort gesendet wird. Ein einziges Konto mit einem solchen Hash kann dadurch genügen, um Konten ohne gesetztes Passwort erreichbar zu machen.

Betroffen sind Alpine-Installationen mit openssh-server ohne PAM sowie openssh-server-pam mit UsePAM no. Bei UsePAM yes greift der beschriebene Weg nicht. Ebenfalls nötig ist PasswordAuthentication yes, was dem OpenSSH-Standard entspricht.

Zu den möglichen Konten zählen root, das in Alpine-Basis-Images seit etwa Alpine 3.16 standardmäßig als root: angelegt wird, sowie Key-only-Benutzer nach adduser ohne Passwort oder usermod -p ''. Auch Verzeichnisdienst-Benutzer über musl-nscd wie nslcd, winbind oder sssd können betroffen sein, weil sie keinen Shadow-Eintrag besitzen. In offiziellen Tiny-Cloud-Images ist außerdem der Benutzer alpine relevant.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

root ist durch PermitRootLogin prohibit-password zunächst geschützt und erst bei PermitRootLogin yes direkt erreichbar. Andere einloggbare Konten können aber über doas zu root wechseln. Alpine-Versionen 3.21 bis 3.24, edge sowie die älteren Reihen 3.16 bis 3.20 wurden als betroffen genannt.

Was jetzt auf Alpine zu tun ist

Damien Miller von OpenSSH empfiehlt, die Passwort-Anmeldung sofort abzuschalten. Vorher muss in einer zweiten Sitzung ein funktionierender Schlüssel-Login getestet werden; die bestehende SSH-Verbindung sollte offen bleiben, bis der neue Zugang geprüft ist. Sonst steht man schnell vor der Tür.

Auf einem Alpine-System kann die Konfiguration beispielsweise so abgesichert werden:

mkdir -p /etc/ssh/sshd_config.d
echo 'PasswordAuthentication no' > /etc/ssh/sshd_config.d/00-no-passwords.conf
sed -i.bak -e '1i PasswordAuthentication no'
  -e 's/^(sPasswordAuthentication[^y#])yes/1no/i'
  /etc/ssh/sshd_config
sshd -t && rc-service sshd restart
sshd -T | grep -i passwordauthentication

Die letzte Ausgabe sollte passwordauthentication no enthalten. Das Drop-in-Verzeichnis wird von Alpine standardmäßig ab Version 3.19 eingelesen; ältere Versionen ignorieren es. Rückgängig machen lässt sich die Änderung mit:

rm /etc/ssh/sshd_config.d/00-no-passwords.conf
cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config

Wer nicht aktualisieren kann, sollte zumindest PasswordAuthentication no setzen und sshd neu starten. Als äußerste Zwischenlösung lässt sich SSH vollständig abschalten. Die Firewall kann den Zugriff zusätzlich beschränken, ersetzt aber weder das Update noch die Deaktivierung der Passwort-Anmeldung.

Für das Update nennt Alpine apk upgrade -U -a. Danach muss der laufende Dienst ausdrücklich neu gestartet werden:

apk upgrade -U -a
rc-service sshd restart

Ein Paket-Upgrade allein reicht nämlich nicht: Der bereits laufende sshd-Prozess wird dadurch nicht automatisch ersetzt. Behobene Alpine-Releases sind 3.21.10, 3.22.8, 3.23.8 und 3.24.4. Die zugehörigen korrigierten Pakete lauten für edge 10.6_p2-r0, für 3.24 10.3_p1-r2, für 3.23 10.2_p1-r1, für 3.22 10.0_p1-r11, für 3.21 9.9_p2-r1, für 3.20 9.7_p1-r6, für 3.19 9.6_p1-r3, für 3.18 9.3_p2-r4, für 3.17 9.1_p1-r7 und für 3.16 9.0_p1-r6.

Container, Tiny Cloud und vergessene Maschinen

Nicht jeder Alpine-Container ist automatisch gefährdet. Wo kein laufender sshd vorhanden ist, fehlt der beschriebene Angriffsweg. Kritisch werden dagegen Container, Entwicklungs-Images, Jump-Hosts, Build-Server und Test-VMs mit installiertem SSH-Server und aktivierter Passwort-Anmeldung. Auch Cloud-Images, die per cloud-init auf PasswordAuthentication no gestellt wurden, gelten nicht als betroffen.

Ein spezieller Stolperstein steckt in offiziellen qcow2-, VHD- und AMI-Tiny-Cloud-Images von Alpine 3.18.11 bis 3.24.3. Sie enthalten den Benutzer alpine mit Passwortfeld und passwortlosem doas. Beim ersten Start gelten sie als sicher. Ausnutzbar werden sie, sobald ein $6$-Hash vorhanden ist, etwa nach dem Setzen eines Konsolenpassworts oder dem Anlegen eines Benutzers über user-data mit hashed_passwd. Dann kann sich ein Angreifer als alpine anmelden und über doas root werden.

Images ab 3.21.10, 3.22.8, 3.23.8 und 3.24.4 enthalten das behobene Paket. Ältere laufende Instanzen müssen aktualisiert oder auf schlüsselbasierte Anmeldung beschränkt werden. Alpine 3.21 erreichte am 1. November 2026 das Supportende; für Versionen bis einschließlich 3.16 wurden trotzdem behobene Pakete veröffentlicht. Konten mit Passwortfeld !, die weder per Passwort noch per Schlüssel einloggen können, sind nicht betroffen. Gleiches gilt für Systeme, auf denen kein Konto einen $-basierten Passwort-Hash besitzt.

Prüfen, nachziehen, Logs ansehen

Administratoren sollten zunächst feststellen, ob musl oder glibc verwendet wird, ob die Passwortprüfung über PAM läuft, ob der Passwort-Login in sshd eingeschaltet ist und welche OpenSSH-Version installiert ist. Hilfreiche Befehle sind:

  • ssh -V
  • apk update
  • apk upgrade
  • apk info -v openssh