musl Linux OpenSSH 漏洞:超 256 字符密码可任意登录
DanielLockyer · x · 2026-11-05
安全公告:在 musl libc(Alpine、OpenWrt、buildroot、yocto 等)上运行且未用 PAM 的 sshd,接受任意长度超过 256 字符的密码,可用于登录密码为 ""(即仅限密钥/LDAP)的账户。Alpine 官方 AWS/Azure 镜像的默认 alpine 用户正是这种情况,且有无密码 doas,等于直接拿到 root。Debian/Ubuntu/Fedora 等 glibc 系统走 PAM 的不受影响。
修复方式:升级到 openssh 10.6p2,和/或禁用 PasswordAuthentication。
所属事件:musl 系统 OpenSSH 漏洞:超 256 字符密码可登录锁定账户(7 条相关)→
「安全」频道最新
- Pinokio 8.3.7 发布：因 eMudhra 证书事件转向安全优先架构 — cocktailpeanut · 2026-11-06
- 密码学家：可验证 LLM 或让智能体互信协作成为可能 — matthew_d_green · 2026-11-06
- 密码学学者发问:「去审查版」GLM 能否产出 0day,实测即知 — matthew_d_green · 2026-11-06
- 文章：AI 让攻击成本骤降，下一场网络危机将瞄准中小机构 — aleximm · 2026-11-06
- 谷歌 Astra 被拒请求真相：本地层触发真实安全训练，而非拒绝安全研究 — thebasepoint · 2026-11-06
- Wintermute 因虚荣地址被爆 1.6 亿美元:GPU 农场的算力恐怖故事 — LexSokolin · 2026-11-06