OpenSSH 10.6p2 устраняет обход входа в Linux с musl

Исправление для конкретной конфигурации сервера

OpenSSH выпустил Portable OpenSSH 10.6p2 5 ноября 2026 года с критически важной защитой от обхода парольной аутентификации на некоторых Linux-серверах. Разработчики указывают системы с musl libc и отключённой PAM. Они относят первопричину к компоненту за пределами sshd, но объясняют, что атакующий может использовать её через этот сервис, а OpenSSH способен перекрыть такой путь.

Об ошибке сообщил Özgün Kültekin из Wakefield. В исследовании уязвимое поведение прослеживается начиная с OpenSSH 7.3p1. Один лишь старый номер версии не доказывает уязвимость: важны библиотека C, способ аутентификации и локальные учётные записи. Пакеты дистрибутивов могут содержать исправление без перехода на последний номер версии исходного проекта. [1]

Какие условия должны совпасть

По данным Wakefield, должны одновременно выполняться все условия: сервер использует musl; OpenSSH работает без PAM; включена парольная SSH-аутентификация; поле пароля одной учётной записи содержит ровно звёздочку (*); у другой записи есть настоящий хеш пароля SHA-256 или SHA-512. Ошибка позволяет войти по паролю в запись со звёздочкой, хотя такое значение предназначено для запрета подобной аутентификации.

Особого внимания требует стандартный пакет openssh-server в Alpine. Wakefield отличает его от openssh-server-pam с UsePAM yes. Для других установок на musl нужны те же проверки конфигурации. По данным исследователя, системы на glibc, OpenSSH с PAM, Dropbear, OpenBSD, FreeBSD и macOS не входят в область воздействия этой ошибки. Поэтому названия дистрибутива или открытого SSH-порта недостаточно для оценки сервера. [2]

Обновление и проверка прошлых входов

Установите OpenSSH 10.6p2 либо пакет дистрибутива с исправлением. Прежде чем считать установленную сборку исправленной, проверьте уведомление о пакете для своей ветки выпуска. CERT-FR рекомендует отключить парольную аутентификацию, а при необходимости сам сервис, если установить исправление невозможно. Администратору стоит сначала убедиться, что альтернативный разрешённый способ доступа работает, чтобы не заблокировать себе вход.

CERT-FR также рекомендует расследовать зарегистрированные парольные входы в учётные записи со звёздочкой в поле пароля. Такие записи требуют проверки, но не дают автоматического ответа о личности атакующего или масштабе доступа. Рассмотренные документы не устанавливают число взломанных серверов и не подтверждают взлом системы конкретного читателя.

В обновлении от 6 ноября CERT-FR указывает идентификатор CVE-2026-123158. Alpine перечисляет исправленные пакеты для веток 3.24 (10.3_p1-r2), 3.23 (10.2_p1-r1) и 3.22 (10.0_p1-r11); другие ветки приведены в уведомлении. После обновления или изменения настроек аутентификации перезапустите sshd: одна установка пакета не заменяет работающий процесс. [3][4]