OpenSSH 10.6p2 behebt Login-Umgehung auf musl-Linux

Korrektur für eine bestimmte Serverkonfiguration

OpenSSH veröffentlichte Portable OpenSSH 10.6p2 am 5. November 2026 mit einer kritischen Abhilfe gegen die Umgehung der Passwortauthentifizierung auf bestimmten Linux-Servern. Die Entwickler nennen Systeme mit musl libc und deaktivierter PAM-Unterstützung. Sie verorten die Ursache außerhalb von sshd, erklären aber, dass Angreifer sie über diesen Dienst ausnutzen können und OpenSSH diesen Weg blockieren kann.

Özgün Kültekin von Wakefield meldete den Fehler. Laut Forschungsbericht besteht das verwundbare Verhalten seit OpenSSH 7.3p1. Eine ältere Versionsnummer allein belegt keine Betroffenheit: C-Bibliothek, Authentifizierungsweg und lokale Konten sind ebenfalls entscheidend. Distributionspakete können die Korrektur enthalten, ohne die neueste Versionsnummer des Ursprungsprojekts zu übernehmen. [1]

Welche Bedingungen zusammentreffen müssen

Wakefield zufolge müssen alle Bedingungen erfüllt sein: Der Server verwendet musl; OpenSSH läuft ohne PAM; die SSH-Passwortauthentifizierung ist aktiviert; das Passwortfeld eines Kontos enthält genau einen Stern (*); ein anderes Konto besitzt einen echten SHA-256- oder SHA-512-Passworthash. Der Fehler kann eine Passwortanmeldung bei dem Konto mit dem Stern erlauben, obwohl dieser Feldwert eine solche Authentifizierung verhindern soll.

Besonders zu prüfen ist Alpines Standardpaket openssh-server. Wakefield unterscheidet es von openssh-server-pam mit UsePAM yes. Andere musl-Installationen benötigen dieselben Konfigurationsprüfungen. Laut Forscher gehören glibc-Systeme, OpenSSH mit PAM, Dropbear, OpenBSD, FreeBSD und macOS nicht zum betroffenen Bereich dieses Fehlers. Ein Distributionsname oder offener SSH-Port genügt deshalb nicht zur Einstufung eines Hosts. [2]

Aktualisierung und Prüfung früherer Zugriffe

Installieren Sie OpenSSH 10.6p2 oder ein Distributionspaket mit der Korrektur. Prüfen Sie die Paketmeldung für den tatsächlich verwendeten Release-Zweig, bevor Sie eine installierte Version als korrigiert einstufen. CERT-FR empfiehlt, die Passwortauthentifizierung oder nötigenfalls den Dienst abzuschalten, wenn die Korrektur nicht installiert werden kann. Administratoren sollten zuvor prüfen, ob ein anderer autorisierter Zugang funktioniert, damit sie sich nicht aussperren.

CERT-FR empfiehlt außerdem, protokollierte Passwortanmeldungen bei Konten mit einem Stern im Passwortfeld zu untersuchen. Solche Einträge erfordern eine Untersuchung und erlauben keine automatische Aussage über den Angreifer oder den Umfang des Zugriffs. Die ausgewerteten Dokumente belegen weder eine Zahl kompromittierter Server noch einen Einbruch in das System eines bestimmten Lesers.

Im Update vom 6. November nennt CERT-FR die Kennung CVE-2026-123158. Alpine führt korrigierte Pakete für die Zweige 3.24 (10.3_p1-r2), 3.23 (10.2_p1-r1) und 3.22 (10.0_p1-r11) auf; weitere Zweige stehen im Sicherheitshinweis. Starten Sie sshd nach dem Update oder Änderungen der Authentifizierung neu: Die Paketinstallation allein ersetzt den laufenden Dienst nicht. [3][4]