Alpine corrige un contournement de l’authentification OpenSSH qui touche notamment des comptes prévus pour se connecter par clé. Immich coupe la télémétrie d’ONNX Runtime par défaut, et le passage à Wiki.js 3 demande une nouvelle instance. Dans ce Weekly #38, du 31 octobre au 7 novembre 2026, je retiens aussi le récit de Vincent Bernat sur son passage de Route 53 à Bunny DNS, avec un détour par les certificats.
OpenSSH sur Alpine, le piège des comptes sans mot de passe#
Un compte prévu pour se connecter uniquement par clé peut accepter une connexion par mot de passe sur un sshd vulnérable avec musl, sans PAM et avec PasswordAuthentication yes. Pour exploiter CVE-2026-123158, il faut pouvoir joindre le démon et connaître le nom d’un compte dont le champ mot de passe vaut *. Il faut aussi qu’un autre compte local possède un hachage de type $5$ ou $6$. L’accès direct à root exige PermitRootLogin yes. Un compte autorisé à passer root via doas peut donner les mêmes privilèges. Avis Alpine
OpenSSH a publié le correctif dans la 10.6p2 le 5 novembre. Alpine l’a rétroporté, par exemple dans 10.3_p1-r2 pour Alpine 3.24 et 10.2_p1-r1 pour la 3.23. Comparez la révision complète du paquet installé à celle de votre branche. Après la mise à jour, redémarrez le démon avec rc-service sshd restart en root sur Alpine avec OpenRC. Notes OpenSSH, versions corrigées chez Alpine
Si la mise à jour doit attendre, vérifiez qu’une connexion par clé fonctionne, puis appliquez PasswordAuthentication no, y compris dans les blocs Match concernés. Vérifiez la configuration avec sshd -t en root avant de redémarrer le démon. Gardez votre session ouverte le temps de tester une nouvelle connexion. Procédure de contournement Alpine
Previdian indique avoir observé des tentatives dès le 6 novembre. Si votre démon était exposé, cherchez dans ses journaux les lignes Accepted password pour des comptes réservés aux clés. Ce contrôle couvre les authentifications enregistrées dans les journaux encore disponibles. Observations de Previdian, indicateurs donnés par Alpine
À lire, le GeoDNS programmable de Vincent Bernat#
Pour répartir les visites de son blog entre sept machines NixOS, Vincent Bernat a remplacé Route 53 par Bunny DNS. Son script renvoie les adresses de deux serveurs disponibles quand leurs distances au visiteur sont comparables. Si le deuxième est nettement plus loin, il renvoie seulement l’adresse du premier et ramène le TTL à deux minutes. La carte du billet permet de désactiver un serveur et de voir comment la réponse changerait selon la région. Retour d’expérience de Vincent Bernat
Le passage que je retiens concerne les certificats. Les défis ACME DNS-01 sont délégués par CNAME à une zone servie par Hickory DNS, avec des mises à jour authentifiées par TSIG. La zone parente est hébergée chez deSEC pour y publier le DS qui relie cette délégation à la chaîne de confiance DNSSEC. La migration du DNS public touche donc aussi les renouvellements de certificats, même si les serveurs web restent en place.
Deux correctifs à suivre sur Linux#
Noyau Linux (CVE-2026-98432). Lors de l’établissement d’une connexion TCP en IPv4, deux traitements concurrents peuvent conduire le noyau à lire des options de socket déjà libérées. Anthropic a décrit le 27 octobre une exécution de commandes en root démontrée sur un serveur avec une socket MPTCP en écoute. Le bulletin Red Hat, actualisé le 4 novembre, précise que le défaut existe aussi avec MPTCP désactivé. Bulletin Red Hat, démonstration d’Anthropic
Pour les hôtes qui acceptent du TCP en IPv4, vérifiez la révision du paquet de votre distribution. Debian 13 a rétroporté le correctif dans le paquet source linux 6.12.113-1. Sur Ubuntu, le statut dépend de la variante du noyau, par exemple linux, HWE ou cloud. Après la mise à jour et le redémarrage, uname -r doit correspondre au noyau que vous venez d’installer. Red Hat et Canonical documentent aussi un filtre provisoire sur les options de l’en-tête IPv4 pour réduire l’exposition en attendant un paquet corrigé. Suivi Debian, suivi Ubuntu
APT (CVE-2026-109518). Un attaquant capable de manipuler le trafic HTTP entre APT et son miroir peut jouer sur les redirections et les reprises de téléchargement pour faire installer un paquet dont le contenu a été remplacé après vérification. Les scripts d’installation du paquet s’exécutent en root. Debian et Ubuntu ont publié leurs correctifs le 4 novembre, par exemple apt 3.0.4 pour Debian 13 et 2.8.4ubuntu0.1 pour Ubuntu 24.04 LTS. Avis Debian, avis Ubuntu, détails des mainteneurs d’APT
Les mises à jour côté auto-hébergement#
- Immich 3.3.6, sortie le 4 novembre, désactive par défaut la télémétrie d’ONNX Runtime dans l’image de machine learning. Le correctif documente l’envoi à Microsoft de métriques système et d’un identifiant persistant. Si la mise à jour doit attendre, ajoutez
ORT_DISABLE_TELEMETRY: "1"dans le blocenvironmentdu serviceimmich-machine-learningde votre Compose, puis recréez ce conteneur. Notes de version, détail du correctif - Wiki.js 3.0 est disponible en version stable depuis le 1er novembre. L’édition à plusieurs en temps réel arrive notamment dans l’éditeur Markdown. La migration passe par un export
.wkbackupdepuis 2.5.317, à importer dans une nouvelle instance avec PostgreSQL 17 ou 18. Gardez la 2.x accessible le temps de contrôler les pages et les droits importés avant de basculer le trafic. Annonce, migration, prérequis - Pangolin 1.26.0 revient sur le blocage de Badger 1.8.0 signalé dans le Weekly #36. Traefik a corrigé le téléchargement du plugin le 3 novembre. On peut désormais passer à Badger 1.8.0 pour les redirections permanentes. Pangolin ajoute aussi les journaux SSH en édition Enterprise, avec Newt 1.20.0 ou Pangolin CLI 0.2.0 au minimum. Notes de version
- Home Assistant 2026.11 met en service le Marketplace annoncé dans le Weekly #37. Autre ajout pratique pour les installations Home Assistant OS, un disque déjà formaté peut servir de destination locale aux sauvegardes depuis Paramètres → Système → Stockage. Home Assistant le retrouve par l’identifiant du système de fichiers, même si le nom du périphérique change. Notes de version
La découverte, Compass pour retrouver ses services#
Compass rassemble sur une page d’accueil les services découverts dans Docker, Kubernetes ou sur un réseau Tailscale ou NetBird. Il peut aussi afficher l’état d’un service à partir de Prometheus ou Gatus. Si vous avez déjà les métriques d’un côté et les liens vers les applications de l’autre, c’est une façon de les réunir sans tenir toutes les fiches à la main. Dépôt de Compass
Pour la découverte Docker, l’exemple du projet monte le socket de l’hôte. Même avec un montage :ro, un conteneur autorisé à ouvrir ce socket peut envoyer des requêtes d’administration au démon. Le projet propose de passer par un proxy de socket pour limiter les opérations accessibles. Droits du groupe Docker
La commande de la semaine#
Pour voir ce que le DNS du blog de Vincent Bernat renvoie depuis votre réseau, interrogez séparément les enregistrements IPv4 et IPv6. Ces requêtes s’exécutent sans privilège avec dig, fourni par bind9-dnsutils sur Debian. Remplacez le domaine par le vôtre pour vérifier votre propre configuration. Paquet Debian
dig +noall +answer vincent.bernat.ch A
dig +noall +answer vincent.bernat.ch AAAAComptez les adresses dans chaque réponse et regardez le TTL en secondes dans la deuxième colonne. Si vous passez par un résolveur qui a déjà la réponse en cache, vous verrez le TTL restant. Pour comparer le routage entre deux régions, répétez les requêtes depuis deux points de mesure, chacun avec un résolveur de sa région. Manuel ISC de dig
Sources#
- OpenSSH et Alpine. Notes de la 10.6p2, avis de sécurité Alpine, révisions corrigées, observations de Previdian.
- Vincent Bernat. GeoDNS programmable, migration d’AWS vers Bunny.
- Noyau Linux. Bulletin RHSB-2026-016, analyse d’Anthropic, suivi Debian, suivi Ubuntu.
- APT. Annonce des mainteneurs, avis DSA-6607-1, avis USN-8996-1.
- Immich. Notes de la 3.3.6, correctif ONNX Runtime.
- Wiki.js. Annonce de la 3.0, guide de migration, prérequis.
- Pangolin 1.26.0 et Home Assistant 2026.11.
- Compass, documentation dans le dépôt, Docker, droits du groupe
docker. dig. Manuel ISC, paquet Debian.