willbesec

OpenSSH antes da 10.6p2 com musl: palavras-passe longas contornam a autenticação

O sshd do OpenSSH, antes da 10.6p2, em Linux com musl libc e sem PAM (por exemplo, Alpine Linux), aceita qualquer palavra-passe com 256 a 1024 caracteres em certas contas. CVSS 8,1.

  • Identificador: CVE-2026-123158
  • Publicado em: 2026-11-05
  • Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 8.1 (HIGH)

Descrição (texto original em inglês):

sshd in OpenSSH before 10.6p2 on Linux, when musl libc is used without PAM, lacks a workaround for a password authentication bypass (related to misinterpretation of whether a string is intended to be a password hash). For some configurations of accounts, any password between 256 and 1024 characters succeeds. An example of a platform using musl libc without PAM is Alpine Linux.

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1133, Serviços remotos externos (External Remote Services)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (github.com)github.com
  3. Referência (hachyderm.io)hachyderm.io
  4. Referência (marc.info)marc.info
  5. Técnica MITRE ATT&CK T1133attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.