OpenSSH 与 musl 组合漏洞可登录密码禁用账户

安全研究员 Ozgun Kultekin 披露，OpenSSH 与 musl C 库组合存在漏洞：攻击者提交超长密码，即可登录密码哈希为 * 的账户。Kultekin 称该缺陷自 2016 年起存在，源于 OpenSSH 在 musl 系统上处理密码验证错误的方式。 该漏洞只影响使用 musl C 库的 Linux 发行版上的 OpenSSH 服务器，包括 Alpine Linux、OpenWrt、Buildroot 和 Yocto，且需特定认证配置；使用 glibc 的 Debian、Ubuntu、Fedora 以及使用 PAM 认证的系统不受影响。 漏洞已在 OpenSSH 10.6p2 中修复，Alpine 管理员可用 apk upgrade openssh 更新；无法立即升级者可在 SSH 配置中设 PasswordAuthentication no 并重启 SSH，以关闭密码认证来缓解。

AI 根据报道生成 · 34 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。