【已复现】OpenSSH/musl 密码认证绕过漏洞(QVD-2026-104595)安全风险通告

奇安信 CERT

2026年11月6日 09:31
北京

去阅读

● 点击↑蓝字关注我们，获取更多安全风险通告

01

漏洞详情

>>>>

影响组件

OpenSSH 是 OpenBSD 项目维护的广泛使用的开源 SSH 远程登录与加密传输服务组件，被广泛应用于 Linux、Unix 及嵌入式系统。musl libc 是面向嵌入式与容器场景的轻量级 C 标准库，被 Alpine Linux、OpenWrt、Buildroot、Yocto 及大量 Docker 镜像采用。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复OpenSSH/musl 密码认证绕过漏洞(QVD-2026-104595)，该漏洞源于 musl libc 的 crypt() 函数在失败时返回单字符 \"\\"（而非 POSIX 规定的NULL），而 OpenSSH 在未启用 PAM 的认证路径中，对密码字段为 \"\\" 的账户借用其他账户的真实盐值执行 crypt() 校验。当攻击者提交 257～1024 字节的超长密码时，musl 的 crypt() 因 KEY\_MAX(256) 长度限制返回 \"\\"，与影子密码字段 \"\\" 比较相等，strcmp 判定通过，导致攻击者无需任何有效凭据即可通过 SSH 密码认证登录仅允许密钥登录或已锁定密码的账户。成功绕过认证后，若目标账户具备免密 sudo/doas 权限（如 Alpine 云镜像默认 alpine 用户），攻击者可直接提权至 root 实现完全控制。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

1. sshd 运行于 musl libc 且未启用 PAM；

2. 开启密码认证（默认开启）；

3. 存在 /etc/shadow 密码字段为单个 \"\*\" 的账户；

4. 系统中另有至少一个拥有真实密码哈希的账户。

02

影响范围

>>>>

影响版本

2016 年以来至 10.6p2 之前，运行于 musl libc 且未启用 PAM 的 OpenSSH sshd（Alpine、OpenWrt、Buildroot、Yocto 及 musl Docker 镜像）

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现OpenSSH/musl 密码认证绕过漏洞(QVD-2026-104595)，截图如下：

04

处置建议

>>>>

安全更新

官方已发布安全补丁，请及时更新至最新版本：

OpenSSH >= 10.6p2

下载地址：

https://www.openssh.org/portable.html

Alpine 等 musl 发行版可执行 apk upgrade openssh 并重启 sshd；源码部署需升级到 10.6p2 后重新编译安装。

临时缓解措施：

1. 关闭密码认证并重启 sshd：在 /etc/ssh/sshd\_config.d/00-no-passwords.conf 写入 PasswordAuthentication no（Alpine 执行 rc-service sshd restart）；

2. 将 PermitRootLogin 设置为 prohibit-password 或 no；

3. 注意：在未启用 PAM 的 Alpine 等 musl 系统上，不要将 /etc/shadow 中的 \"\*\" 改为 \"!\"，否则会导致合法用户无法使用 SSH 密钥登录；

4. 若已暴露，应检查 sshd 日志中本应无密码的账户是否出现 Accepted password 记录。

05

参考资料

[1]https://www.openssh.org/releasenotes.html#10.6p2

06

时间线

2026年11月06日，奇安信 CERT发布安全风险通告。

07

漏洞情报服务

「奇安信漏洞情报平台」重磅上线，诚邀您来体验：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。