Telset.id – Pengguna Alpine Linux dan sejumlah distribusi Linux lain menghadapi risiko keamanan serius. Sebuah kombinasi bug pada OpenSSH dan musl libc memungkinkan penyerang masuk ke sistem tanpa perlu password. Cukup dengan mengetik lebih dari 256 karakter secara acak pada prompt password, penyerang bisa masuk melalui celah yang dijuluki SSHhole. Kondisi ini menjadi paling berbahaya bagi Alpine Linux karena distribusi tersebut mengaktifkan autentikasi password secara default, sehingga membutuhkan patch segera.
Kerentanan ini menjadi perhatian besar karena Alpine Linux merupakan pilihan default untuk apa yang bisa mencapai jutaan instalasi. Instalasi tersebut mencakup container Docker, Kubernetes, dan Proxmox, beserta berbagai dependensinya, server, cloud VM, hingga perangkat embedded. Kombinasi bug ini hadir, meski tidak selalu aktif, di Buildroot, Yocto, dan Void Linux.
Secara umum, kombinasi kerentanan yang harus diwaspadai meliputi OpenSSH, musl, autentikasi password yang tidak secara eksplisit dinonaktifkan, tidak menggunakan PAM, serta adanya satu user arbitrer yang memiliki password dengan hash SHA-512/256. OpenWRT sendiri menggunakan Dropbear untuk autentikasi secara default, tetapi pengguna dapat memasang OpenSSH sebagai gantinya.
Asal Mula Bug OpenSSH dan musl libc
Situs SSHhole memuat detail lengkap mengenai celah ini. Kesalahan terjadi ketika fungsi crypt() milik musl mengembalikan “*” sebagai kondisi error, bukan nilai null seperti konvensi umumnya. OpenSSH kemudian menggunakan nilai tersebut untuk membandingkan dengan hash password, padahal seharusnya tidak demikian. Input yang terlalu panjang lantas memicu rangkaian kesalahan tersebut.
Jika Anda pernah melihat berkas /etc/passwd atau /etc/shadow, mungkin menyadari adanya satu tanda bintang sebagai placeholder untuk hash password pada akun tanpa password. Tanda itu bermakna “tidak ada password yang seharusnya berfungsi”. Namun dalam kasus ini, rantai kesalahan justru membuat autentikasi bisa dilewati.
OpenSSH telah menerbitkan perbaikan dan catatan advisori. Hal serupa juga dilakukan penulis musl, Rich Felker. Kedua pihak tampak saling menyalahkan, tetapi dari sudut pandang luar, tanggung jawab tampaknya terbagi.
Baca Juga:
Mitigasi dan Dampak bagi Pengguna
Langkah mitigasi paling mudah adalah menetapkan “PasswordAuthentication” menjadi “no” secara eksplisit di berkas konfigurasi OpenSSH, lalu me-restart layanan tersebut. Patch sistem juga harus segera dilakukan sesuai catatan advisori proyek terkait. Meski secara praktik mayoritas instalasi Alpine dan distribusi serupa tidak dapat diakses langsung dari internet, siapa pun penyerang di dalam jaringan tetap bisa masuk. Itu mencakup jaringan korporat, home lab, jaringan cloud, dan VPN.
Yang perlu diwaspadai, cukup satu akun pengguna yang valid untuk membuat penyerang masuk ke dalam jaringan. Dalam lingkungan korporat yang cukup besar, mendapatkan satu akun valid bukanlah hal yang terlalu sulit. Pemindaian dan pengujian kerentanan ini pun tergolong mudah dilakukan.
Bagi pengguna yang menjalankan layanan berbasis container maupun server, memperbarui sistem menjadi langkah paling krusial. Insiden ini juga menjadi pengingat bahwa konfigurasi default pada distribusi Linux tidak selalu aman. Menonaktifkan autentikasi password dan beralih ke metode yang lebih aman menjadi langkah preventif yang masuk akal.
Kerentanan SSHhole menegaskan bahwa kombinasi celah kecil pada komponen yang saling bergantung bisa berujung pada lubang keamanan besar. Pengguna Alpine Linux, Buildroot, Yocto, dan Void Linux disarankan segera memeriksa konfigurasi OpenSSH serta menerapkan patch yang tersedia. Bagi yang ingin memantau perkembangan teknologi dan keamanan lainnya, simak juga ulasan Motor Listrik Modular serta informasi Recall Audi Q4 di kanal Autonext Telset.id.
Komentar
Belum ada komentar.