OpenSSH 10.6p2 усуває обхід входу в Linux із musl

Виправлення для конкретної конфігурації

OpenSSH випустив Portable OpenSSH 10.6p2 5 листопада 2026 року з критично важливим захистом від обходу парольної автентифікації на деяких Linux-серверах. Розробники вказують системи з musl libc та вимкненою PAM. Вони відносять першопричину до компонента поза sshd, але пояснюють, що нападник може використати її через цей сервіс, а OpenSSH здатний перекрити такий шлях.

Про помилку повідомив Özgün Kültekin із Wakefield. Дослідження простежує вразливу поведінку починаючи з OpenSSH 7.3p1. Сам лише старий номер версії не доводить вразливість: важливі бібліотека C, спосіб автентифікації та локальні облікові записи. Пакети дистрибутивів можуть містити виправлення без переходу на найновіший номер версії вихідного проєкту. [1]

Які умови мають збігтися

За даними Wakefield, усі умови мають виконуватися одночасно: сервер використовує musl; OpenSSH працює без PAM; увімкнено парольну SSH-автентифікацію; поле пароля одного запису містить рівно зірочку (*); інший запис має справжній хеш пароля SHA-256 або SHA-512. Помилка дозволяє увійти за паролем до запису із зірочкою, хоча таке значення призначене для заборони подібної автентифікації.

Варто перевірити стандартний пакет openssh-server в Alpine. Wakefield відрізняє його від openssh-server-pam із UsePAM yes. Інші встановлення на musl потребують тих самих перевірок конфігурації. За даними дослідника, системи на glibc, OpenSSH із PAM, Dropbear, OpenBSD, FreeBSD та macOS не входять до сфери впливу цієї помилки. Отже, назви дистрибутива чи відкритого SSH-порту недостатньо для оцінки сервера. [2]

Оновлення та перевірка минулих входів

Установіть OpenSSH 10.6p2 або пакет дистрибутива з виправленням. Перш ніж вважати встановлену збірку виправленою, перевірте повідомлення про пакет для своєї гілки випуску. CERT-FR радить вимкнути парольну автентифікацію, а за потреби сам сервіс, якщо встановити виправлення неможливо. Адміністратору слід спершу переконатися, що альтернативний дозволений спосіб доступу працює, щоб не заблокувати собі вхід.

CERT-FR також рекомендує розслідувати зафіксовані парольні входи до записів із зірочкою в полі пароля. Такі записи потребують перевірки, але не дають автоматичної відповіді щодо особи нападника чи обсягу доступу. Розглянуті документи не встановлюють кількість зламаних серверів і не підтверджують злам системи конкретного читача.

В оновленні від 6 листопада CERT-FR вказує ідентифікатор CVE-2026-123158. Alpine перелічує виправлені пакети для гілок 3.24 (10.3_p1-r2), 3.23 (10.2_p1-r1) та 3.22 (10.0_p1-r11); інші гілки наведено в повідомленні. Після оновлення чи зміни налаштувань автентифікації перезапустіть sshd: саме встановлення пакета не замінює запущений процес. [3][4]