本期日期 2026年11月6日
SSH 身份验证漏洞影响部分 Linux 配置
Ars Technica 报道了一个漏洞，可在部分同时使用 OpenSSH 和 musl 的配置中实现无密码登录，尤其涉及 Alpine Linux。补丁已经发布，但受影响系统的范围仍有部分不确定性，且取决于多项具体条件。
法律告知：此内容由人工智能系统生成。 编辑透明度
在部分同时使用 OpenSSH 和 musl 的配置中，一个漏洞可能允许无需密码即可登录。Alpine 和 OpenSSH 已提供补丁，因此应优先核查安装情况。不过，风险取决于多项身份验证参数：仅凭存在 SSH 服务，并不足以断定系统受到影响。
据 Ars Technica 报道，部分 Linux 配置允许攻击者在不知道密码的情况下建立 SSH 会话。该漏洞被发现者命名为 *sshole，在满足多项技术条件时会影响 Alpine Linux 等系统。Alpine 和 OpenSSH 已发布更新。尽管问题的确切影响范围仍有待确定，这些补丁已为受影响系统的管理员提供了可立即采取的应对措施。
问题出现在 OpenSSH 与 musl 的交互中，musl 是 Alpine 用来替代 libc 的库。在所述场景中，使用 musl 的 OpenSSH 安装必须在未启用 PAM 的情况下运行，才会面临风险。PAM 是负责身份验证和账户访问检查的机制。因此，仅凭系统使用 Alpine 或存在可访问的 SSH 服务，并不足以认定机器存在漏洞。
其他前提条件涉及本地账户。系统尤其需要存在一个可访问的账户，其密码使用 SHA256 或 SHA512 进行哈希处理。而目标账户在 /etc/shadow 文件的密码字段中必须有一个星号，报道将这种配置描述为在某些使用证书身份验证的账户中较为常见。Checkpoint 明确指出，提供哈希值的账户必须处于启用状态。
当这些条件同时满足时，后果可能相当严重。据 Ars Technica 引述的 Alpine 维护者介绍，能够访问 SSH 端口的攻击者可以在不知道密码的情况下登录。Checkpoint 表示，在这一场景中，默认设置 PermitRootLogin prohibit password 可以保护 root 账户，防止此类直接登录。不过，攻击者仍可能通过一个可访问且拥有 sudo 或 doas 权限的账户，进一步取得这些特权。
Alpine 之外的影响范围仍不确定。其他发行版如果使用相同配置，也可能受到影响。漏洞发现者还提到了 OpenWRT、buildroot 和 yocto，但报道强调，其中部分关于受影响系统的说法仍有待确认。OpenWRT 默认使用 Dropbear，而非 OpenSSH，这一区别对评估其风险至关重要。
OpenSSH 与 musl 之间也存在技术责任归属之争。这一分歧并不改变实际工作的优先事项：找出同时使用 musl 和 OpenSSH 的机器，核查是否满足受影响条件，并为相关系统应用补丁。分析必须依据每个安装实例的实际配置；现有信息尚不足以量化实际存在漏洞的机器数量。