OpenSSH 10.6p2 corregge un aggiramento su Linux musl

Una correzione per una configurazione precisa

OpenSSH ha pubblicato Portable OpenSSH 10.6p2 il 5 novembre 2026 con una misura correttiva critica per un aggiramento dell’autenticazione tramite password su alcuni server Linux. Gli sviluppatori indicano i sistemi con musl libc e PAM disabilitato. Collocano la causa al di fuori di sshd, precisando però che un aggressore può sfruttarla attraverso il servizio e che OpenSSH può bloccare questa via.

Özgün Kültekin di Wakefield ha segnalato il problema. La ricerca fa risalire il comportamento vulnerabile a OpenSSH 7.3p1. Un numero di versione precedente non dimostra da solo l’esposizione: contano anche libreria C, percorso di autenticazione e account locali. I pacchetti delle distribuzioni possono includere la correzione senza adottare l’ultimo numero di versione del progetto originale. [1]

Le condizioni che devono coincidere

Secondo Wakefield devono sussistere tutte queste condizioni: il server usa musl; OpenSSH funziona senza PAM; l’autenticazione SSH tramite password è attiva; il campo password di un account contiene esattamente un asterisco (*); un altro account ha un vero hash della password SHA-256 o SHA-512. La falla può consentire l’accesso tramite password all’account con l’asterisco, benché quel valore debba impedire tale autenticazione.

Il pacchetto standard openssh-server di Alpine richiede attenzione. Wakefield lo distingue da openssh-server-pam con UsePAM yes. Le altre installazioni basate su musl richiedono gli stessi controlli. Secondo il ricercatore, i sistemi basati su glibc, OpenSSH con PAM, Dropbear, OpenBSD, FreeBSD e macOS non rientrano nell’ambito di questa falla. Il nome della distribuzione o una porta SSH aperta non bastano quindi a classificare un host. [2]

Aggiornare e verificare gli accessi precedenti

Installate OpenSSH 10.6p2 oppure un pacchetto della distribuzione contenente la correzione. Consultate l’avviso per il ramo effettivamente utilizzato prima di considerare corretta la versione installata. CERT-FR raccomanda di disabilitare l’autenticazione tramite password, o il servizio se necessario, quando non è possibile applicare la patch. Gli amministratori dovrebbero prima verificare che un altro accesso autorizzato funzioni, per non escludersi dal sistema.

CERT-FR raccomanda inoltre di esaminare gli accessi tramite password registrati per gli account con un asterisco nel campo password. Queste registrazioni richiedono un’indagine, non una conclusione automatica sull’aggressore o sull’ampiezza dell’accesso. I documenti esaminati non stabiliscono il numero di server compromessi né confermano la compromissione del sistema di un lettore specifico.

Nell’aggiornamento del 6 novembre, CERT-FR indica l’identificatore CVE-2026-123158. Alpine elenca i pacchetti corretti per i rami 3.24 (10.3_p1-r2), 3.23 (10.2_p1-r1) e 3.22 (10.0_p1-r11); gli altri sono riportati nell’avviso. Riavviate sshd dopo l’aggiornamento o modifiche all’autenticazione: installare il pacchetto non sostituisce il processo in esecuzione. [3][4]