OpenSSH 10.6p2 corrige un contournement sur Linux musl

Un correctif pour une configuration précise

OpenSSH a publié Portable OpenSSH 10.6p2 le 5 novembre 2026 avec une mesure corrective critique contre un contournement de l’authentification par mot de passe sur certains serveurs Linux. Les développeurs désignent les systèmes utilisant musl libc avec PAM désactivé. Ils situent la cause hors de sshd, tout en précisant qu’un attaquant peut l’exploiter via ce service et qu’OpenSSH peut bloquer cette voie.

Özgün Kültekin, de Wakefield, a signalé le problème. La publication de recherche fait remonter le comportement vulnérable à OpenSSH 7.3p1. Un ancien numéro de version ne suffit pas à établir l’exposition : la bibliothèque C, le mécanisme d’authentification et les comptes locaux comptent aussi. Les distributions peuvent intégrer le correctif sans adopter le dernier numéro de version du projet d’origine. [1]

Les conditions qui doivent être réunies

Selon Wakefield, toutes ces conditions doivent être réunies : le serveur utilise musl ; OpenSSH fonctionne sans PAM ; l’authentification SSH par mot de passe est activée ; le champ de mot de passe d’un compte contient exactement un astérisque (*) ; un autre compte possède un véritable hachage de mot de passe SHA-256 ou SHA-512. La faille peut autoriser une connexion par mot de passe au compte marqué par l’astérisque, alors que cette valeur doit empêcher cette authentification.

Le paquet standard openssh-server d’Alpine mérite une vérification. Wakefield le distingue d’openssh-server-pam avec UsePAM yes. Les autres installations fondées sur musl nécessitent les mêmes contrôles. Selon le chercheur, les systèmes fondés sur glibc, OpenSSH avec PAM, Dropbear, OpenBSD, FreeBSD et macOS ne sont pas concernés par cette faille. Le nom d’une distribution ou un port SSH ouvert ne suffit donc pas à classer une machine. [2]

Mettre à jour et examiner les accès passés

Installez OpenSSH 10.6p2 ou un paquet de distribution contenant la correction. Vérifiez l’avis concernant la branche effectivement utilisée avant de considérer la version installée comme corrigée. CERT-FR recommande de désactiver l’authentification par mot de passe, ou le service si nécessaire, lorsque l’application du correctif est impossible. Les administrateurs devraient d’abord vérifier qu’un autre accès autorisé fonctionne pour éviter de perdre leur accès.

CERT-FR recommande aussi d’examiner les connexions par mot de passe enregistrées pour les comptes dont le champ de mot de passe contient un astérisque. Ces traces justifient une enquête, pas une conclusion automatique sur l’attaquant ou l’étendue de son accès. Les documents examinés n’établissent ni un nombre de serveurs compromis ni la compromission du système d’un lecteur particulier.

Dans sa mise à jour du 6 novembre, CERT-FR attribue à la faille l’identifiant CVE-2026-123158. Alpine indique les paquets corrigés pour les branches 3.24 (10.3_p1-r2), 3.23 (10.2_p1-r1) et 3.22 (10.0_p1-r11), les autres figurant dans son avis. Redémarrez sshd après la mise à jour ou une modification de l’authentification : installer le paquet ne remplace pas le processus en cours. [3][4]