未使用 PAM 的 musl Linux OpenSSH 可接受超长密码，绕过纯密钥账户登录

Alpine 描述，超长密码使 musl 的 crypt() 返回错误标记，sshd 将其与账户保存的 ‘*’ 字段比较而产生错误。可经网络访问服务、知道用户名的攻击者，在启用密码认证、未使用 PAM 且另有本地账户提供 $5$ 或 $6$ 密码哈希时，可用 257–1024 字节密码登录。发现者的复现要求同一连接内先有一次失败的密码尝试。这不代表所有 OpenSSH 或 Alpine 均遭入侵。以 ‘!’ 锁定的账户不受此路径影响；直接以密码登录 root 仍需 PermitRootLogin yes，但其他受影响账户可能通过自身权限提权至 root。

Alpine 列出 3.16–3.24 及 edge 受影响。其 tiny-cloud 镜像初始安全，但管理员加入符合条件的密码哈希后可能暴露，预设 alpine 账户可免密码使用 doas。经 cloud-init 禁用密码认证的镜像和未运行 sshd 的容器不属于该路径。上游 10.6p2 属于缓解措施，Alpine 稳定分支保留较旧上游号、以包修订号回补。本文不提供用于这些发行版特有版本的检查器。最初的通知确立了漏洞及处置要求，发布早于下文的传感器报告。

编号跟进： 现已核对 CNA，将本漏洞关联至 CVE-2026-123158。其简述写 256–1024 个字符；Alpine 详细解释要求超过 256 字节，明确为 257–1024 字节，上文保留该范围。编号不改变账户前提、修复包修订号或重启要求。Red Hat 的不受影响结论适用于其产品构建，不代表所有 Linux 安装。

11 月 6 日利用证据。 Previdian 初版公开传感器报告列出同一来源 IP 发起的八次尝试。其 CEO 另向 The Hacker News 表示，其中一次在运行 Alpine 和 OpenSSH 的蜜罐中取得 root 权限，并报告了非交互式侦察。实际尝试及成功访问监测环境支持 L4。11 月 7 日公开仪表板显示四个传感器记录了 17 次尝试，涉及定位在八个国家的 11 个来源 IP。这些数字来自传感器观测。尚未证实生产环境受害者，厂商给出的前提及修复版本未变。

StepSecurity 在 Alpine 3.24 的虚拟机与容器中用 10.3_p1-r1 独立复现这一顺序，并在安装 10.3_p1-r2、重启 sshd 后确认绕过失效。它的客户端及 askpass 测试只能向服务端送达最多 1023 字节。Alpine 公告所列服务端范围仍为 257–1024 字节。GitHub 的 GHSA-4fcc-vm97-gx3x 与该 CVE 指向同一漏洞。