2026-11-09 01:29:48 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【已复现】musl 无 PAM 环境可绕过口令认证——OpenSSH sshd 认证绕过漏洞（CVE-2026-123158）

长亭安全应急响应中心

2026年11月6日 17:32
浙江

去阅读

OpenSSH 是广泛使用的 SSH 协议实现，其 sshd 组件主要用于远程登录、命令执行和安全文件传输，广泛应用于 Linux 服务器、云主机、容器镜像及网络设备等场景。

2026 年 11 月，长亭安全应急响应中心监测到 OpenSSH sshd 在 musl libc 且未启用 PAM 的 Linux 环境中存在口令认证绕过风险（CVE-2026-123158）。攻击者仅需网络访问，即可使用超长口令登录口令被设为 * 的账号。截至通告发布，官方已在 OpenSSH 10.6p2 中修复，建议相关用户尽快升级或临时关闭口令认证。

漏洞描述 Description

漏洞成因

2016 年，OpenSSH 为统一口令校验的耗时引入了借用盐值的机制：目标账号没有真实口令哈希时，sshd 会借用其他账号的盐值计算一次口令哈希。musl libc 的口令哈希函数在口令超长等失败场景下返回单字符 *，而锁定账号保存的标记同样是 *；OpenSSH 10.6p1 及更早版本在未启用 PAM 时直接比较两者，未校验标记长度，导致失败返回值被误判为匹配。OpenSSH 10.6p2 增加了最小长度校验，修复该问题。

漏洞影响

攻击者可绕过口令认证，登录口令被设为 *、本应拒绝所有口令的账号。此类账号常见于 root、仅密钥部署账号、LDAP 占位账号及 Alpine 云镜像默认用户；若该账号可免密提权，攻击者可能进一步取得 root 权限，导致服务器被完全控制或敏感数据泄露。该问题不影响所有 OpenSSH 部署，实际范围取决于是否使用 musl libc、是否启用 PAM 以及账号配置。该问题已分配 CVE-2026-123158，CVE 记录给出的 CVSS 3.1 基础评分为 8.1。

利用条件

sshd 运行于 musl libc 环境，且未启用 PAM，常见于 Alpine、OpenWrt、Buildroot、Yocto 及部分容器镜像。
目标 sshd 开启口令认证，即 PasswordAuthentication yes。
目标账号的口令锁定标记为 *，且系统中另有使用真实哈希的账号供 sshd 取盐。
攻击者能够提交超过 256 字节的口令；公开分析给出的可触发区间为 257 至 1024 字节。

处置优先级：高

漏洞类型： 认证绕过

漏洞危害等级： 高

触发方式： 网络远程

权限认证要求： 无需权限

系统配置要求： 需要特定配置

用户交互要求： 无需用户交互

利用成熟度： POC/EXP 已公开

修复复杂度： 低，官方已提供修复方案

影响版本 Affects

OpenSSH 7.3-10.6p1

受影响： Linux + musl libc、sshd 未启用 PAM 且开启口令认证的部署，常见于 Alpine、OpenWrt、Buildroot、Yocto 及基于这些系统的容器和云镜像。

不受影响： 主流 glibc 发行版、启用 PAM 的 sshd，以及 Dropbear、OpenBSD。

解决方案 Solution

升级修复方案

建议升级至 OpenSSH 10.6p2 或更高版本。官方发布说明见 https://www.openssh.com/releasenotes.html#10.6p2 。使用发行版软件包的用户应更新至发行版发布的安全版本，部分发行版已回移修复；自行编译的用户应重新编译并替换 sshd，升级后重启服务。