OpenSSH 10.6p2 verhelpt bypass op systemen met musl

OpenSSH bracht op 5 november 2026 versie 10.6p2 uit met een workaround voor een wachtwoordauthenticatie-bypass op bepaalde Linux-systemen met musl. Voor Alpine-beheerders is de update pas effectief nadat ook de draaiende sshd opnieuw is gestart. Welke pakketversie nodig is, hangt af van de Alpine-branch. (OpenSSH; Alpine Linux)

Welke configuratie maakt de bypass mogelijk?

Volgens Alpine moeten de volgende voorwaarden tegelijk gelden:

• De SSH-server draait OpenSSH met musl, zonder PAM, of met UsePAM no. PAM (Pluggable Authentication Modules) is een systeem voor het afhandelen van aanmeldingen.
• Wachtwoordaanmelding staat aan met PasswordAuthentication yes.
• Het wachtwoordveld van het doelaccount bevat *.
• Minstens één ander lokaal account heeft een hash die begint met $5$ of $6$.
• De SSH-dienst is bereikbaar voor de aanvaller.

Bij een wachtwoordinvoer van 257 tot en met 1.024 bytes kan musls crypt() de waarde * teruggeven. Die waarde komt dan overeen met het * in het wachtwoordveld van het doelaccount. Alpine zegt dat één verbinding volstaat zodra aan de voorwaarden is voldaan. (Alpine Linux)

Een account met * is pas kwetsbaar als ook de SSH-instellingen en de vereiste lokale hash overeenkomen.

Alpine noemt systemen met PasswordAuthentication no, OpenSSH met PAM ingeschakeld (UsePAM yes), accounts met ! in het wachtwoordveld en containers zonder draaiende sshd als niet getroffen door dit probleem.

OpenSSH zegt dat de hoofdoorzaak buiten sshd ligt, maar dat de bypass via de daemon kan worden misbruikt en daar kan worden voorkomen. Rich Felker, auteur van musl, beschrijft het als onjuist gebruik door de aanroeper. (OpenSSH; musl-advies van Rich Felker)

Welke Alpine-pakketversie verhelpt het probleem?

Alpine heeft de volgende versies van openssh-server als opgelost vermeld:

Een pakketupgrade vervangt de al draaiende daemon niet. Alpine adviseert daarom na de upgrade sshd te herstarten. Het advies noemt apk upgrade -U -a voor de upgrade en rc-service sshd restart voor de herstart. Als updaten niet mogelijk is, noemt Alpine het uitschakelen van wachtwoordaanmelding als tijdelijke maatregel; herstart daarna ook sshd. (Alpine Linux)

Wanneer kunnen Alpine tiny-cloud-images kwetsbaar worden?

Alpine noemt officiële tiny-cloud-artefacten van versies 3.18.11 tot en met 3.24.3, waaronder qcow2-, VHD- en AMI-bestanden. Die images hebben een account alpine met * in het wachtwoordveld en wachtwoordloze doas. Volgens Alpine zijn ze bij de eerste start veilig. De beschreven voorwaarden kunnen later samenkomen wanneer er een $6$-hash op het systeem staat. Als ook de overige voorwaarden gelden, kan een aanvaller via het account alpine inloggen en met doas root worden. (Alpine Linux)

Welke controles noemt Alpine?

Alpine adviseert in /var/log/messages te zoeken naar regels met Accepted password voor accounts die geen wachtwoord horen te hebben. Controleer ook doas, gebruikers, bestanden en authorized_keys. Als een ongeoorloofde aanmelding niet kan worden uitgesloten, adviseert Alpine het systeem als gecompromitteerd te behandelen. (Alpine Linux)