OpenSSH Musl: Bug Login Sembarang Password

Sistem Linux berbasis musl libc seperti Alpine, OpenWrt, dan seabrek image Docker ternyata menyimpan celah fatal sejak 2016. Akun yang harusnya gak bisa login pakai password (seperti root atau akun key-only dengan tanda bintang di shadow) bisa jebol cuma dengan memasukkan password acak sepanjang 256 karakter atau lebih. Kalau kamu punya server Alpine atau container dengan SSH aktif ke publik, cek dan patch sekarang juga sebelum kena sikat.

Mengenal Layanan & Gambaran Teknis

Di Linux, akun tanpa akses password ditandai karakter '*' di file /etc/shadow supaya fungsi crypt gak pernah cocok. Masalahnya, musl libc membatasi hash password maksimal 256 karakter dan mengembalikan nilai '*' kalau input kepanjangan. Saat ada penyerang memasukkan password lebih dari 256 karakter, OpenSSH membandingkan output error '*' dengan isi shadow '*', hasilnya cocok, dan pintu login langsung terbuka.

Panduan Langkah Demi Langkah

1. Langkah 1: Buka terminal server atau container kamu, lalu cek apakah sistem memakai musl libc dengan menjalankan 'ldd --version' atau 'cat /etc/os-release'.
2. Langkah 2: Buka file konfigurasi SSH di /etc/ssh/sshd_config menggunakan editor teks favoritmu (misal: 'vi /etc/ssh/sshd_config').
3. Langkah 3: Pastikan baris 'PasswordAuthentication no' aktif (tanpa tanda pagar '#') agar server menolak autentikasi password sepenuhnya.
4. Langkah 4: Perbarui paket OpenSSH ke rilis terbaru yang sudah ditambal lewat package manager (misal di Alpine: 'apk update && apk upgrade openssh').
5. Langkah 5: Restart service SSH daemon dengan perintah '/etc/init.d/sshd restart' atau reboot container untuk menerapkan perbaikan.

Persyaratan & Kesiapan

• Akses root atau sudo ke server/container Linux target.
• Sistem operasi berbasis musl libc (seperti Alpine Linux, OpenWrt, Buildroot, atau Yocto).
• Port OpenSSH (biasanya port 22) terbuka dan mengizinkan autentikasi password.

Tips Optimalisasi

• Gunakan SSH key murni dan matikan 'PasswordAuthentication' serta 'KbdInteractiveAuthentication' di sshd_config.
• Periksa ulang Dockerfile dasar kamu; jika berbasis alpine:latest, rebuild image untuk menarik pembaruan paket musl/openssh terbaru.

Mitigasi Risiko & Keamanan

• Akun root atau akun deploy yang tadinya dikunci password bisa diambil alih siapa saja tanpa perlu SSH private key.
• Container publik yang mengekspos port SSH bisa disusupi malware dan dijadikan botnet secara otomatis.

Kesimpulan & Catatan Penting

Celah sshhole ini sangat sepele tapi fatal karena membuka akses root tanpa verifikasi kredensial asli. Segera matikan autentikasi password di konfigurasi SSH dan update paket sistem kamu sekarang.