OpenSSH+musl 密码认证绕过披露（11月6日）

Re: "sshole": password authentication bypass: OpenSSH + musl libc

推荐理由

面向使用 OpenSSH 的开发/运维读者：这是可绕过密码认证的安全问题披露，建议尽快关注后续补丁与受影响版本说明，并核对你们的 OpenSSH 版本与认证栈是否符合披露中的组合条件。

Posted by theknell on Nov 06

由 theknell 于 11 月 06 日发布

Jacob — you asked whether it even entirely works when there

Jacob——你问的是：当 there

is no salt to borrow. The rigs were still up, so I built

里没有可以借用的盐时，它是否甚至仍然完全可用。装置还在，所以我把

the box. OpenSSH 10.6p2 --without-pam, shadow file with no

这个盒子搭好了。OpenSSH 10.6p2 --without-pam，shadow 文件中无论哪里都没有有效密码：账号被锁定为 *, !, !!,

valid password in it anywhere: accounts locked as *, !, !!,

*LK*，以及一个被锁定的 yescrypt 哈希（$!y$...），密码认证

*LK*, and a locked yescrypt hash (!$y$...), password auth

仍然开启。每个账号 60 组交错采样，仅使用认证请求

still on. 60 interleaved samples per account, auth-request

时间，glibc/libxcrypt 和 musl 都是。需要时可提供

time only, glibc/libxcrypt and musl both. Harnesses and

测试架和原始数据。

raw data available on request.

……什么都没有。

Nothing...

一切……无。

看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力