OpenSSH与musl组合漏洞可致免密登录，双方已发布修复
先了解这件事
安全研究员 Ozgun Kultekin 披露名为 "*sshole" 的缺陷：在 Alpine Linux、OpenWrt、Buildroot、Yocto 等 musl 系发行版上，OpenSSH 与 musl libc 的组合漏洞可让攻击者以超长密码（257 至 1,024 字符）登录密码字段为 * 的账户。OpenSSH 已在 10.6p2 发布修复与安全公告，musl 作者 Rich Felker 也发布了修复。 成因是 OpenSSH 在 2016 年为修复 CVE-2016-6210 引入的改动：超长密码导致 musl 的 crypt() 返回错误值 *，与账户屏蔽密码所用的 * 比对相同，从而通过验证。触发条件包括系统用户密码为空（多个发行版默认如此）、启用密码认证且未显式禁用、未使用 PAM，且该用户密码使用 SHA-512/256 哈希，Alpine 默认满足这些条件。该漏洞无法绕过设有有效密码哈希的账户，直接 root 登录仍受 OpenSSH 配置限制。 最简单的缓解方法是在 OpenSSH 配置中显式将 PasswordAuthentication 设为 no 并重启服务；OpenWrt 默认使用 Dropbear 认证不受影响，但安装了 OpenSSH 的用户需注意。
AI 根据报道生成 · 2 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- The Register精选musl libc 系统现 *sshole 漏洞：超长密码可登录 root 等无密码账户，OpenSSH 10.6p2 已修复
基于 musl libc 的 Linux 系统存在被命名为 *sshole 的漏洞，攻击者输入 257 至 1,024 字符的密码即可访问标记为星号、不应接受密码的账户（如 root）。
- Tom’s Hardware精选OpenSSH 与 musl libc 组合缺陷可致 Alpine Linux 等系统被无密码登录，官方已发紧急修复
OpenSSH 与 musl libc 的组合漏洞使攻击者在密码提示处输入超过 256 个字符即可登录系统，条件包括启用密码认证、未使用 PAM 且存在空密码用户，Alpine 默认满足这些条件。
- BleepingComputer精选OpenSSH 与 musl 交互缺陷可让攻击者登录禁用密码的账户，已在 10.6p2 修复
安全研究员 Ozgun Kultekin 披露名为 "*sshole" 的缺陷：在 Alpine Linux、OpenWrt 等 musl 系发行版上，OpenSSH 因 2016 年为修 CVE-2016-6210 引入的改动，会将超长密码（超 256 字节）导致的 crypt() 失败返回值 * 与账户屏蔽密码用的 * 相等比对，从而以无效密码登录禁用密码的账户。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。