Votre NAS sous Alpine Linux ? Un faux mot de passe pourrait ouvrir SSH
Sur certains systèmes utilisant musl, une faille d’OpenSSH pourrait permettre l’accès SSH sans le bon mot de passe. Vérifiez la configuration et installez le correctif disponible.
- 1Concerné si
- Un appareil avec OpenSSH avant 10.6p2, musl, PAM absent ou désactivé et un service SSH actif et joignable est concerné.
- 2À faire d’abord
- Vérifiez l’appareil, installez le correctif ou, à défaut, désactivez le mot de passe SSH ou le service SSH.Voir les 3 étapes
- 3Le risque
- Un tiers pouvant joindre le service SSH pourrait accéder à l’appareil sans connaître le bon mot de passe.
- 4Comment on le sait
- Le CERT-FR signale un contournement de l’authentification SSH dans cette configuration. frandroid.com
Concerné ?
Un NAS, un routeur ou un autre appareil sous Linux peut être concerné si toutes ces conditions sont réunies : il utilise la bibliothèque musl, exécute une version d’OpenSSH antérieure à 10.6p2, a été compilé sans prise en charge de PAM ou fonctionne avec PAM désactivé, et son service SSH est actif et joignable par un tiers. Être un NAS, un routeur ou utiliser Alpine Linux ne suffit pas, à lui seul, à établir que l’appareil est vulnérable. Le service SSH peut être joignable depuis Internet ou depuis un réseau local auquel un tiers a accès.
Comment on le sait
Dans un article du 6 novembre 2026, Frandroid décrit cette faille et indique qu’un correctif est disponible. L’alerte du CERT-FR du 5 novembre 2026 précise le périmètre : OpenSSH avant 10.6p2, sur un système utilisant musl, sans PAM ou avec PAM désactivé.
Ce qu’on ne sait pas : ces sources ne donnent pas la liste des modèles de NAS ou de routeurs concernés ni le nombre d’appareils compromis. Elles ne permettent pas de déduire qu’un modèle précis est vulnérable du seul fait qu’il utilise Alpine Linux.
Le risque
Quand les conditions sont réunies, un attaquant capable de joindre le service SSH peut contourner son authentification. Selon le CERT-FR, il peut se connecter en fournissant deux mots de passe ; le second doit comporter plus de 256 et moins de 1 024 caractères. Il ne suffit donc pas de saisir n’importe quel mot de passe court, et tous les appareils Linux ne sont pas touchés.
Quoi faire maintenant
- Vérifiez votre appareil. À partir de sa référence exacte, consultez la documentation, l’interface de gestion et les mises à jour du fabricant pour savoir si SSH est actif et si un correctif est disponible. Si la configuration embarquée n’est pas indiquée, demandez confirmation au fabricant.
- Appliquez le correctif disponible. Le CERT-FR renvoie au bulletin de sécurité d’OpenSSH pour les correctifs ; sur un appareil grand public, suivez les mises à jour fournies par son fabricant. Une simple mise à jour sans correctif adapté ne prouve pas que la faille est résolue.
- Si le correctif ne peut pas être appliqué, le CERT-FR recommande de désactiver l’authentification SSH par mot de passe ou, à défaut, le service SSH. Si vous soupçonnez une connexion non autorisée, faites vérifier les journaux de connexion et demandez une assistance technique avant d’effacer d’éventuelles traces.