OpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM

5 listopada 2026 r. zespół OpenSSH wydał łatkę do Portable OpenSSH. Zawiera ona obejście krytycznej podatności, przez którą można zalogować się przez SSH bez podania poprawnego hasła. Problem dotyczy serwerów Linux z biblioteką musl libc i wyłączonym PAM. Według twórców źródło błędu leży poza sshd. Atak prowadzi jednak przez niego, dlatego obejście wprowadzono właśnie tam. Szczegółów technicznych nie ujawniono. Jeśli serwer pozwala logować się hasłem na konto root, atakujący może przejąć cały system.

Kogo dotyczy

Podatne są Linuksy z musl libc, na których hasła sprawdza się bez PAM. Najbardziej narażony jest Alpine Linux, bo jego domyślny pakiet openssh-server nie korzysta z PAM. To samo dotyczy kontenerów zbudowanych na obrazach alpine z uruchomionym sshd. Podatność nie występuje na systemach innych niż Linux, na Linuksach z glibc ani tam, gdzie hasła sprawdza PAM.

Co zrobić

Zainstaluj wydanie z 5 listopada. Damien Miller z zespołu OpenSSH zaleca, by na takich systemach natychmiast ustawić PasswordAuthentication=no albo wyłączyć SSH.