OpenSSH-Lücke ermöglicht Anmeldungen an gesperrten Alpine-Linux-Konten
Eine neu offengelegte Schwachstelle in OpenSSH ermöglicht seit dem 5. November 2026 Anmeldungen an bestimmten Linux-Konten, für die die Passwortauthentifizierung gesperrt wurde. BleepingComputer berichtet, dass ein Angreifer dafür ein überlanges Passwort eingeben kann. Betroffen sind OpenSSH-Server auf musl-basierten Distributionen wie Alpine Linux, OpenWrt, Buildroot und Yocto, wenn weitere Authentifizierungseinstellungen erfüllt sind.
Der Sicherheitsforscher Ozgun Kultekin, der die Schwachstelle am selben Tag offengelegt hat, führt den Fehler laut BleepingComputer auf die Verarbeitung fehlgeschlagener Passwortprüfungen durch OpenSSH und die musl-C-Bibliothek zurück. Konten können in /etc/shadow mit einem Sternchen als Passwort-Hash für Passwortanmeldungen gesperrt werden. Bei einem Passwort mit mehr als 256 Byte liefert musl jedoch ebenfalls ein Sternchen zurück. OpenSSH kann diesen Wert dann mit dem gespeicherten Sternchen vergleichen und die Anmeldung akzeptieren.
Der Angriff setzt laut dem Bericht voraus, dass SSH-Passwortauthentifizierung aktiviert und PAM deaktiviert ist. Außerdem muss mindestens ein Konto einen Stern als Hash verwenden, während ein anderes Konto einen gültigen Passwort-Hash besitzt. Die Lücke umgeht keine Passwörter von Konten mit gültigen Hashes. Systeme mit glibc, darunter Debian, Ubuntu und Fedora, sowie Systeme mit aktivierter PAM-Authentifizierung seien von diesem Angriff nicht betroffen.
BleepingComputer warnt besonders vor den offiziellen Alpine-Linux-Images für AWS und Azure. Diese enthalten demnach ein betroffenes Standardkonto namens alpine, das passwortlos über doas erhöhte Rechte erhalten kann. Für Administratoren ist OpenSSH 10.6p2 die genannte fehlerbereinigte Version. Alpine-Betreiber sollen ihre OpenSSH-Pakete mit apk upgrade openssh aktualisieren.
Wer den Fix nicht sofort installieren kann, soll laut dem Bericht PasswordAuthentication no in der SSH-Konfiguration setzen und den SSH-Dienst neu starten. Zur Prüfung möglicher Angriffe empfiehlt der Forscher, die SSH-Authentifizierungsprotokolle auf erfolgreiche Passwortanmeldungen für gesperrte Konten zu untersuchen. Auf Alpine Linux nennt er dafür die Suche nach Accepted password in /var/log/messages. Ein erfolgreicher Passwortzugriff auf das Konto alpine trotz eines Sterns in /etc/shadow könne auf eine Ausnutzung hindeuten.