UCloud-202611-003:OpenSSH 密码认证绕过漏洞安全公告

漏洞详情

OpenSSH 是常用的远程登录与文件传输软件。2026 年 11 月 5 日，OpenSSH 发布 Portable OpenSSH 10.6p2，修复了特定 Linux 环境下的 sshd 密码认证绕过漏洞（CVE-2026-123158）。

该问题发生在使用 musl libc、未启用 PAM 的密码认证路径。对密码字段为 * 的账户，sshd 在某些情况下会借用另一账户的密码哈希盐值；musl 的 crypt() 在处理过长密码时会以 * 表示错误，可能被误判为与该账户的密码字段匹配。攻击者只要能访问 SSH 服务并知道目标用户名，在满足下述账户与配置条件时，可能无需知道真实密码即可登录。若可登录账户具有管理员权限或可通过 doas 等方式提权，可能进一步控制主机。

影响范围

受影响条件

以下条件需要同时满足：

- Linux 系统使用 musl libc，运行未包含修复补丁的 Portable OpenSSH sshd；上游 10.6p2 已修复。

- sshd 未使用 PAM，或使用支持 PAM 的构建但配置为 UsePAM no。

- 实际生效的配置为 PasswordAuthentication yes，且 SSH 服务可被攻击者访问。

- 存在允许 SSH 登录、密码字段为 * 的账户，同时至少另有一个本地账户使用 $5$ 或 $6$ 密码哈希。

Alpine Linux 默认的 openssh-server 软件包未启用 PAM。Alpine 官方确认已检查的 3.21 至 3.24 及 edge 分支受影响，并为更早的 3.16 至 3.20 分支提供了回补软件包。未运行 sshd 的容器、使用 glibc 的常规 Linux 环境、已关闭密码认证的系统，以及启用 PAM 的相应配置，不符合上述利用条件。不能仅依据 OpenSSH 主版本号判断发行版软件包是否已修复。

Alpine Linux 已发布的修复包

- edge：openssh 10.6_p2-r0 及以上

- Alpine 3.24：openssh 10.3_p1-r2 及以上

- Alpine 3.23：openssh 10.2_p1-r1 及以上

- Alpine 3.22：openssh 10.0_p1-r11 及以上

- Alpine 3.21：openssh 9.9_p2-r1 及以上

- Alpine 3.20：openssh 9.7_p1-r6 及以上

- Alpine 3.19：openssh 9.6_p1-r3 及以上

- Alpine 3.18：openssh 9.3_p2-r4 及以上

- Alpine 3.17：openssh 9.1_p1-r7 及以上

- Alpine 3.16：openssh 9.0_p1-r6 及以上

其他使用 musl 的发行版或自建镜像，请核对其 OpenSSH 构建方式、实际配置及发行方的修复包，不要直接套用 Alpine 包版本。

修复方案

官方升级修复

请尽快安装对应发行版提供的 OpenSSH 安全更新。Alpine Linux 可运行 apk upgrade -U -a 更新软件包，随后执行 rc-service sshd restart 重启 sshd；仅更新软件包而未重启正在运行的服务，修复不会在该进程中生效。自行编译的 Portable OpenSSH 可升级至 10.6p2 或包含对应修复的后续版本。升级后核对已安装软件包版本和正在运行的 sshd。

临时缓解措施

无法立即升级时，在确认公钥登录可用、保留现有管理会话的前提下，将 sshd 配置为 PasswordAuthentication no，检查主配置、配置片段和 Match 块是否存在覆盖，并重启 sshd。重启前可用 sshd -t 检查语法，随后验证实际生效配置和新建公钥登录连接。限制 SSH 服务的访问来源也有助于降低暴露面，但不能替代升级或关闭密码认证。

对可能已暴露的主机，可检查 SSH 日志中是否出现对无密码账户的 Accepted password for 记录，并核查异常新增账户、授权密钥及提权行为。如发现可疑登录，应按入侵事件处置。

参考链接

- OpenSSH 10.6p2 发布说明：https://www.openssh.org/txt/release-10.6p2

- OpenSSH 修复提交：https://github.com/openssh/openssh-portable/commit/4353fdc43ef646c43a8dda7025cc1a898caf1482

- Alpine Linux 安全公告：https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/

- CVE 漏洞条目：https://www.cve.org/CVERecord?id=CVE-2026-123158