musl 下 OpenSSH 爆严重漏洞：超 256 字符任意密码可登录 root
Yamapama · x · 2026-11-05
安全研究者发现自 2016 年起的一个严重认证漏洞：在基于 musl libc 的 Linux(Alpine、OpenWrt、Buildroot、Yocto 及大量 Docker 镜像)上，本不应接受密码登录的账户(root、仅密钥的 deploy 用户、LDAP 用户、Alpine 云镜像默认用户等)接受任何超过 256 字符的密码。
作者从 Unix 历史讲起，梳理了漏洞成因链条：
- 1980 年起，禁止登录的账户在密码字段放 ,它不是合法 hash,任何密码都无法匹配；
- 1997 年 Single Unix Spec 规定:crypt() 失败时返回 NULL,但大量程序不检查 NULL,直接拿返回值与存储字段比较；
- 2012 年 musl 改了行为:crypt() 失败时不再返回 NULL,而是返回一个单字符占位串；
- OpenSSH 在 musl 上校验超长密码时触发了这条失败路径，占位串又恰好能通过比较逻辑，导致「任意密码」通过认证。
文章配有完整的历史考证与代码链接(sshole.com),受影响面包括大量生产环境与容器镜像，建议受影响系统尽快升级并禁用密码认证。
所属事件:musl 系统 OpenSSH 漏洞:超 256 字符密码可登录锁定账户(7 条相关)→
「Infra」频道最新
- 美股开盘10分钟蒸发7000亿美元,NVDA跌3.87%领跌科技股 — CurieuxExplorer · 2026-11-06
- Ramp 11月软件支出榜:SpaceXAI、Anthropic 增长最快 — annbordetsky · 2026-11-06
- Pinecone 开源 Postgres 向量扩展：136MB 索引对 HNSW 的 2GB — dl_weekly · 2026-11-06
- NVIDIA 拆解 AI 显存优化：从压缩模型权重到跨服务器复用上下文的 5 种方法 — NVIDIAAI · 2026-11-06
- OpenRouter 内部数据：开源模型占 75% 用量仅 25% 收入，80-90% 流量来自 Agent — mobileraj · 2026-11-05
- Slack/GitHub 老将复盘:自定义 emoji 为何限 23 个 — The Pragmatic Engineer · 2026-11-05