潜伏九年的 OpenSSH 漏洞：超长密码可登录任意禁密账户，根源在 musl libc
TheZachMueller · x · 2026-11-05
sshhole.com 披露一个自 2016 年起影响 musl Linux（Alpine、OpenWrt、Buildroot、Yocto 及大量 Docker 镜像）的 OpenSSH 问题：本不应接受密码登录的账户（root、仅密钥的 deploy 用户、LDAP 用户、Alpine AWS/Azure 镜像默认用户等）只要输入任意超过 256 字符的密码即可登录。
文章沿 Unix 历史脉络解释成因：
- 1980 年 Bill Joy 在 /etc/passwd 中为 daemon 账户写入 ，因 不是哈希，任何密码都无法匹配；
- 现代 sshd 将输入密码加盐哈希后与 /etc/shadow 中字段比对，字段为 时永不匹配；
- 1997 年 Single UNIX Spec 规定 crypt() 失败时返回 NULL，但许多程序不检查 NULL，直接比对导致崩溃；
- 2012 年 musl 决定 crypt() 失败时不再返回 NULL，而是返回单字符——超长密码（>256 字符）触发内部限制使 crypt 失败，返回值恰可与存储字段比对通过，从而认证成功。
这是一个 libc 行为「优化」与调用方未处理错误边界叠加造成的安全漏洞。
所属事件:musl 系统 OpenSSH 漏洞:超 256 字符密码可登录锁定账户(7 条相关)→
「Infra」频道最新
- 2000加元预算攒机跑ComfyUI:二手RTX 3090 24GB还是新卡? — Good_Business7425 · 2026-11-05
- 曝 OpenAI 将承担未来数据中心的全部电力成本 — inductionheads · 2026-11-05
- Dropbox 3.5 亿美元收购 Tigris Data,加码 AI 基础设施 — TechCrunch AI · 2026-11-05
- Baseten 加入 NVIDIA Nemotron 联盟,提供 RL 环境与推理优化 — baseten · 2026-11-05
- PyTorch Lightning 创始人 Will Falcon 宣布卸任 Lightning AI CEO — williamfalcon · 2026-11-05
- Eon 发布 Yukon 无服务器数据引擎:AI 采用瓶颈不在模型而在数据基础设施 — EXM7777 · 2026-11-05