OpenSSHのsshdにパスワード認証を回避される脆弱性、musl libc環境で影響
Summary
Linux上のOpenSSH 10.6p2より前のsshdで、musl libcをPAMなしで使う環境だと、パスワード認証を回避される脆弱性が見つかりました。一部のアカウント設定では256〜1024文字のどのパスワードでも認証が通るとされ、CVSSは8.1です。10.6p2以降に更新してください。Alpine Linuxなどが該当します。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Linux上のOpenSSH 10.6p2より前のsshdで、musl libcをPAMなしで使う環境だと、パスワード認証を回避される脆弱性が見つかりました。一部のアカウント設定では256〜1024文字のどのパスワードでも認証が通るとされ、CVSSは8.1です。10.6p2以降に更新してください。Alpine Linuxなどが該当します。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| OpenBSD | OpenSSH |
< 10.6p2 |
10.6p2 |
Fix status by distribution
Records published by each distribution for this CVE. Fixed versions differ by release; check each link.
- Alpine Linux ALPINE-CVE-2026-123158 openssh Fix available
- Debian DEBIAN-CVE-2026-123158 openssh-gssapi, openssh No fixed version in this record
Original description The description as published by the source.
sshd in OpenSSH before 10.6p2 on Linux, when musl libc is used without PAM, lacks a workaround for a password authentication bypass (related to misinterpretation of whether a string is intended to be a password hash). For some configurations of accounts, any password between 256 and 1024 characters succeeds. An example of a platform using musl libc without PAM is Alpine Linux.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- package github.com
- patch github.com
- patch github.com
- REDHAT Red Hat
- report sshhole.com
- web openssh.org
- web news.ycombinator.com
- web news.ycombinator.com
- web marc.info
- web hachyderm.io
- web alpinelinux.org
- web news.ycombinator.com
- web alpinelinux.org
- web github.com