De acordo com as Leis 12.965/2014 e 13.709/2018, que regulam o uso da Internet e o tratamento de dados pessoais no Brasil, ao me inscrever na newsletter do portal DICAS-L, autorizo o envio de notificações por e-mail ou outros meios e declaro estar ciente e concordar com seus Termos de Uso e Política de Privacidade.
Dica do Dia
Falha no OpenSSH permite acesso a contas sem senha em sistemas Linux baseados em musl
Fonte: Notícias Linux
Uma vulnerabilidade descoberta no OpenSSH, apelidada de "*sshole", afeta sistemas Linux que usam a biblioteca musl (como Alpine, OpenWrt, Buildroot e Yocto) e pode permitir que atacantes façam login em contas configuradas para bloquear acesso por senha. A falha existe desde 2016 e foi causada por um efeito colateral de um patch de segurança anterior: ao tentar prevenir enumeração de usuários, o OpenSSH passou a fazer hash de senhas mesmo para contas sem hash válido (marcadas com asterisco no arquivo /etc/shadow). O problema é que a função crypt() da biblioteca musl também retorna asterisco quando falha — incluindo quando a senha enviada excede 256 bytes — fazendo o sistema aceitar a autenticação ao comparar dois asteriscos.
A vulnerabilidade afeta apenas contas com senha desabilitada e não compromete contas com hash válido. Segundo o pesquisador de segurança Ozgun Kultekin, que divulgou os detalhes, administradores podem se proteger imediatamente desabilitando autenticação por senha no OpenSSH (configuração PasswordAuthentication no) ou verificar logs de SSH para detectar acessos suspeitos em contas que não deveriam aceitar senhas.
Últimas Dicas
- Boas práticas para atualizações atômicas
- Atualizações atômicas com imagens de contêiner e bootc
- Onde ficam os dados em um sistema atômico?
- Como instalar programas em um Fedora Atomic Desktop
- Como realizar rollback em uma atualização atômica
- Como aplicar uma atualização atômica com rpm-ostree
- Conhecendo as implantações com rpm-ostree status
- Atualizações atômicas: o que muda na administração do Linux
- Atualizações Atômicas: Uma nova filosofia para atualizar sistemas operacionais
Dicas mais populares