Vượt xác thực mật khẩu OpenSSH trên hệ thống Alpine dùng musl không có PAM
Mã định danh: OpenSSH-musl-password-bypass-2026-11-05
- Xuất bản
- Thay đổi nội dung gần nhất
- Xác minh gần nhất
Xác minh gần nhất: . Mục cần chú ý được xác minh lại trong vòng 72 giờ.
Tóm tắt
Alpine Linux và OpenSSH công bố thông báo ngày 5 tháng 11 năm 2026 về lỗi vượt xác thực mật khẩu trên Linux dùng musl không bật PAM. Thông báo của nhà cung cấp chưa ghi mã CVE. Đã có gói Alpine vá lỗi và biện pháp khắc phục trong bản ngược dòng 10.6p2.
Tác động
Kẻ tấn công tiếp cận được SSH và biết tên tài khoản có thể đăng nhập vào tài khoản vốn chỉ dành cho khóa SSH. Thiết lập mặc định PermitRootLogin prohibit-password vẫn chặn đăng nhập root trực tiếp bằng mật khẩu.
Ai bị ảnh hưởng
Alpine chạy openssh-server hoặc openssh-server-pam với UsePAM no và PasswordAuthentication yes, tài khoản mục tiêu có trường mật khẩu là * và tồn tại tài khoản khác có băm $5$ hoặc $6$, SSH tiếp cận được từ mạng. Alpine đã kiểm tra từ 3.16 đến 3.24 và edge. Hệ thống không phải Linux, dùng glibc, xác thực qua PAM và container không chạy sshd không thuộc phạm vi lỗi này.
Sản phẩm và phiên bản
| Sản phẩm và phiên bản | Bị ảnh hưởng | Đã sửa |
|---|---|---|
| OpenSSH on Alpine Linux / musl | Alpine 3.16–3.24 and edge before branch-specific fixed packages; musl, PAM disabled and password/account prerequisites apply. Exact upstream affected range not established. | OpenSSH 10.6p2; Alpine edge 10.6_p2-r0; 3.24: 10.3_p1-r2; 3.23: 10.2_p1-r1; 3.22: 10.0_p1-r11; 3.21: 9.9_p2-r1; 3.20: 9.7_p1-r6; 3.19: 9.6_p1-r3; 3.18: 9.3_p2-r4; 3.17: 9.1_p1-r7; 3.16: 9.0_p1-r6 |
Bằng chứng khai thác
Chưa xác lập việc khai thác. Các thông báo chính thức được xem ngày 6 tháng 11 năm 2026 chưa xác lập khai thác thực tế. Bài phân tích của nhà nghiên cứu đã công khai.
Việc cần làm
- Cài ngay gói đã vá đúng nhánh Alpine theo bảng của nhà cung cấp (edge: 10.6_p2-r0) rồi sớm khởi động lại sshd trong một thay đổi có kiểm soát, giữ nguyên phiên và đường truy cập hiện tại; chỉ cập nhật gói chưa kích hoạt bản vá.
- Nếu chưa vá được, trước hết xác nhận đăng nhập bằng khóa SSH đang hoạt động và có sẵn đường khôi phục, giữ phiên hiện tại, rồi mới đặt PasswordAuthentication no, kiểm tra cấu hình, khởi động lại có kiểm soát và thử đăng nhập mới bằng khóa trước khi dựa vào thay đổi này.
- Rà soát các lần đăng nhập mật khẩu thành công vào tài khoản chỉ dùng khóa và các thay đổi đặc quyền; nếu nghi ngờ xâm nhập thì điều tra riêng.
Điều chưa rõ
- Thông báo không nêu phạm vi phiên bản OpenSSH ngược dòng bị ảnh hưởng chính xác.
- Chưa xác lập khai thác thực tế, nhưng điều đó không đồng nghĩa không có.
Nguồn
- Alpine Linux https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/
- OpenSSH https://www.openssh.org/releasenotes.html
- Özgün Kültekin / Wakefield https://sshhole.com/
Lịch sử thay đổi
- — Xuất bản: Thêm ngày 6 tháng 11 năm 2026 dựa trên thông báo của Alpine và OpenSSH ngày 5 tháng 11 năm 2026.