OpenSSH propust omogućava zaobilaženje prijave na određenim musl Linux sistemima

Šta se desilo?

OpenSSH je 5. novembra 2026. objavio verziju 10.6p2 koja sprečava zaobilaženje autentifikacije na određenim Linux sistemima sa musl bibliotekom. Propust je označen kao CVE-2026-123158. OpenSSH tim navodi da je osnovni uzrok izvan sshd, ali da se kroz njega može iskoristiti.

Koga pogađa?

Potrebni su musl, isključen PAM, omogućeno PasswordAuthentication yes, dostupan nalog sa * u polju lozinke i najmanje jedan lokalni nalog sa $5$ ili $6$ hešom. Nisu pogođeni kontejneri bez sshd ni konfiguracije sa UsePAM yes. Direktna root prijava dodatno zavisi od PermitRootLogin.

Kako se zaštititi?

• Instalirajte zakrpljeni OpenSSH paket za svoju distribuciju i restartujte sshd.
• Na Alpine granama 3.24, 3.23, 3.22 i 3.21 minimalne ispravke su redom 10.3_p1-r2, 10.2_p1-r1, 10.0_p1-r11 i 9.9_p2-r1.
• Ako ažuriranje nije odmah moguće, isključite prijavu lozinkom. Pre toga proverite pristup ključem i zadržite postojeću sesiju dok ne testirate novu.
• Pregledajte uspešne prijave lozinkom na nalozima bez postavljene lozinke, nove ključeve i neočekivanu upotrebu administratorskih ovlašćenja.
• Proverite i pokrenute kontejnere i cloud instance; ažuriranje osnovne slike ne menja automatski postojeće instance.

Tehnički detalji

Pri obradi lozinke duže od 256 bajtova musl funkcija crypt() može vratiti * kao oznaku greške. OpenSSH, u opisanoj konfiguraciji, taj rezultat poredi sa istim znakom u zapisu naloga i prihvata prijavu. Istraživač opisuje opseg od 257 do 1024 bajta; bajtovi nisu nužno isto što i broj znakova.

U CVE zapisu je navedena ocena CVSS 3.1 od 8,1. Postoji javna demonstracija propusta, ali ona sama ne dokazuje napade na stvarne sisteme. U pregledanim izvorima nije pronađena potvrda aktivne eksploatacije.

Zašto je važno?

Nalog namenjen prijavi ključem može neočekivano prihvatiti lozinku ako su ispunjeni uslovi. Posledice zavise od njegovih ovlašćenja i pristupa drugim servisima.