Важно sshhole

[ADMIN]

Неверный пароль длиной в 257 символов может позволить злоумышленникам получить доступ к учетным записям, которые вообще не должны принимать пароли. Взлом пароля при этом не требуется.
Решение: обновите OpenSSH и перезапустите службу sshd либо установите параметр `PasswordAuthentication no`.

OpenSSH allows long-password logins to * accounts on musl with PAM off

On Alpine and other musl-based Linux systems, a password of 257 bytes can unlock accounts that have no password at all. No guessing and no stolen keys. Here is who is affected, how to check in two minutes and how to close the hole today. NebuSec did not find this bug.

nebusec.ai

*sshole · sshhole.com

openssh on musl linux has been letting people into password-less accounts since 2016.

sshhole.com

 

[Support]

Посмотреть вложение 886

Неверный пароль длиной в 257 символов может позволить злоумышленникам получить доступ к учетным записям, которые вообще не должны принимать пароли. Взлом пароля при этом не требуется.
Решение: обновите OpenSSH и перезапустите службу sshd либо установите параметр `PasswordAuthentication no`.

OpenSSH allows long-password logins to * accounts on musl with PAM off

On Alpine and other musl-based Linux systems, a password of 257 bytes can unlock accounts that have no password at all. No guessing and no stolen keys. Here is who is affected, how to check in two minutes and how to close the hole today. NebuSec did not find this bug.

nebusec.ai

*sshole · sshhole.com

openssh on musl linux has been letting people into password-less accounts since 2016.

sshhole.com

[ RU ]

Основные меры предосторожности (обязательно выполняйте хотя бы часть)
- Не устанавливайте ничего, если не понимаете, что именно делает программа.
- Проверяйте источник - лучше всего официальный сайт автора или GitHub с открытым исходным кодом.
- Используйте виртуальную машину (VirtualBox, VMware) или песочницу (Sandboxie, Windows Sandbox) для теста подозрительного софта.

[ ENG ]

Basic precautions (be sure to follow at least some of them)
- Don't install anything if you don't understand what the program does.
- Check the source—preferably the author's official website or GitHub with open source code.
- Use a virtual machine (VirtualBox, VMware) or sandbox (Sandboxie, Windows Sandbox) to test suspicious software.