OpenSSH修复Alpine密码认证绕过漏洞

OpenSSH 于 2026 年 11 月 5 日发布 Portable 10.6p2，修复一个可让远程攻击者绕过 Alpine Linux 服务器密码认证的漏洞，受影响范围包括仅限密钥访问的账户。该漏洞影响使用 musl libc 且未启用 PAM 认证的 Linux 系统。 利用需满足多个条件：目标账户密码字段为 *，同时另一个本地账户含 $5$ 或 $6$ 密码哈希；密码认证须保持开启；Alpine 称利用需一次连接、可达的 SSH 端口及已知账户名。使用 openssh-server-pam 且配置 UsePAM yes 的系统不受影响；未运行 SSH 服务的容器也不受影响，仅使用 Alpine 容器镜像本身不构成暴露。通告发布时尚未分配 CVE 编号。 Alpine 提醒，仅升级包不会替换正在运行的 sshd，需重启 sshd 才生效。

AI 根据报道生成 · 18 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。