musl 系统 OpenSSH 漏洞:超 256 字符密码可登录锁定账户
安全研究者 Daniel Lockyer 披露了名为 sshhole 的 OpenSSH 严重漏洞(详见 sshhole.com):在基于 musl libc 的 Linux 系统(Alpine、OpenWrt、Buildroot、Yocto,以及大量以其为基础的 Docker 镜像,包括 AWS 与 Azure 官方 Alpine 镜像)上,自 2016 年起,密码被设为""(即仅限密钥登录或 LDAP 认证、本应禁止密码登录)的账户(如 root、部署专用账户),可以被任意超过 256 字符的密码成功登录。Geoffrey Huntley 等研究者敦促所有用户立即更新系统。
已确认
- 漏洞影响在 musl 系统上运行且未使用 PAM 的 sshd,前提是开启密码认证
- 根源在于 musl 的 crypt() 失败时不再返回 NULL,导致超长密码处理出现异常
- 问题自 2016 年起潜伏,影响范围覆盖 Alpine、OpenWrt、Buildroot、Yocto 及大量常见 Docker 镜像,AWS 与 Azure 官方 Alpine 镜像的默认用户同样受影响
- sshhole.com 已发布长文复盘该漏洞细节
为什么重要
- musl 生态广泛用于容器与嵌入式设备,默认镜像受影响意味着大量生产环境可能暴露于未授权登录风险
- 密码为""的账户通常被视为安全锁定(仅限密钥/外部认证),管理员普遍不会认为它们可被密码登录,容易被忽视
- 建议受影响用户尽快升级系统与 sshd,并检查是否使用了 PAM 认证
2026-11-05 ~ 2026-11-05 · 7 条相关
一手来源
- musl Linux OpenSSH 惊现漏洞：任意超 256 字符密码即可登录 — DanielLockyer ·
- musl Linux OpenSSH 漏洞:超 256 字符密码可任意登录 — DanielLockyer ·
- musl 的 crypt() 失败不再返回 NULL，openssh 弱密码漏洞潜伏九年 — cramforce ·
- musl 平台 OpenSSH 曝严重漏洞：受锁账户任意密码可登录 — evilsocket · 2026-11-05
- 【源头】musl Linux OpenSSH 惊现漏洞：任意超 256 字符密码即可登录 — DanielLockyer · 2026-11-05
- 【源头】musl 的 crypt() 失败不再返回 NULL，openssh 弱密码漏洞潜伏九年 — cramforce · 2026-11-05
- Alpine 镜像爆登录漏洞：超 256 字符任意密码可登入，速升级 — emax · 2026-11-05
另有 3 条近重复转述:DanielLockyer · TheZachMueller · Yamapama