TL;DR
Na części Linuksów do logowania przez SSH wystarczy dowolne hasło. Łatka Portable OpenSSH 10.6p2 z 5 listopada ma zamknąć lukę pozwalającą wejść na konto bez poprawnego hasła, a zespół OpenSSH zaznacza, że źródło problemu leży poza samym sshd. Demon jest tu tylko drzwiami, przez które to działa.
Warunki są dość specyficzne, ale łatwo je spełnić w kontenerach i na routerach. Chodzi o systemy z musl libc (Alpine, OpenWrt, Void w wariancie musl, Chimera, Adélie, Gentoo z profilem musl), sshd zbudowany bez PAM lub z UsePAM=no oraz włączone PasswordAuthentication. Glibc i konfiguracje z PAM są poza grą.
Zanim zaczniesz łatać, sprawdź w trzech komendach, czy to dotyczy twoich hostów. Autor podaje też doraźne wyjścia na wypadek, gdy aktualizacja musi poczekać.
5 listopada 2026 r. ukazała się łatka do Portable OpenSSH (dla przypominienia nie chodzi o bezinstalacyjną wersję serwera, która często wykorzystuje suffix “portable”, w przypadku...
Czytaj cały wpis u źródła// tagi
