В OpenSSH исправили обход пароля, затрагивающий Alpine Linux

Уязвимость CVE-2026-123158 позволяет при определённой конфигурации входить в отдельные учётные записи Alpine Linux без знания пароля. Исправление включено в OpenSSH 10.6p2, а компания Previdian уже сообщила о попытках эксплуатации.

5 ноября 2026 года разработчики OpenSSH — набора программ для защищённого удалённого доступа по протоколу SSH — выпустили версию 10.6p2, блокирующую обход парольной аутентификации. Уязвимость CVE-2026-123158 затрагивает Linux-системы с библиотекой языка C musl, где OpenSSH работает без PAM — механизма подключаемых модулей аутентификации.

По предупреждению команды Alpine Linux, для атаки должны совпасть несколько условий: сервер принимает пароли, у целевой учётной записи в поле пароля стоит символ *, а у другой локальной записи есть хеш с префиксом $5$ или $6$. Тогда атакующий, знающий имя целевого пользователя, может войти с произвольным паролем длиной от 257 до 1024 байт. Под угрозой оказываются в том числе пользователи, которым предполагалось разрешать вход только по SSH-ключу.

Причина — совпадение служебных значений: при слишком длинном пароле функция crypt() в musl возвращает * как признак ошибки, а сервер ошибочно принимает его за совпадение с полем пароля. Как поясняет обнаруживший проблему исследователь безопасности Озгюн Кюльтекин, системы с glibc, включая Debian, Ubuntu и Fedora, а также конфигурации с PAM этой атаке не подвержены.

6 ноября компания Previdian, отслеживающая эксплуатацию уязвимостей, сообщила о зафиксированных сенсорами попытках атак. Компания отдельно оговаривает, что такие наблюдения сами по себе не подтверждают успешную компрометацию целей.

Команда Alpine подготовила исправленные пакеты для веток 3.16–3.24 и edge, включая выпуски без регулярной поддержки. После обновления необходимо перезапустить серверный процесс sshd: установка пакета не заменяет уже работающий демон. Если обновиться сразу нельзя, временная мера — установить PasswordAuthentication no в конфигурации сервера и перезапустить его. Перед отключением паролей разработчики рекомендуют проверить вход по ключу и сохранить текущую сессию до успешного нового подключения.