每早八时出报
AI · 模型 · 产业
新闻枢纽 · 日报
中文 AI 资讯
NEWSHUB DAILY
先打断：OpenSSH 与 musl libc 组合下的密码认证绕过问题已披露，涉及 libxcrypt 生成失败令牌逻辑缺陷，可能在特定缓冲区与配置条件下异常影响认证判定，具备可利用风险。随后需要同步关注 Apache Allura 的 CVE-2026-118196（OAuth1 重绑定），其至 1.22.0 前存在漏洞，已在 1.22.1 修复并建议升级。值得一看的是，披露中给出了明确的触发条件与可复现实验要点，便于快速验证与加固。
02:49oss-security（开源安全披露）
开源安全邮件列表披露了 OpenSSH 与 musl libc 组合下的密码认证绕过问题。该漏洞涉及 libxcrypt 库中生成失败令牌（failure token）的逻辑缺陷，当缓冲区仅有两个字节时可能返回特定字符，从而可能导致认证逻辑异常。此变更直接影响依赖 OpenSSH 进行远程访问的系统安全性，属于可利用的安全漏洞修复范畴。
09:29oss-security（开源安全披露）
oss-security 披露 CVE-2026-118196，严重等级 critical。影响 Apache Allura（through 1.22.0），问题为 OAuth 1 rebinding 漏洞。公告指出该问题在 Apache Allura 1.22.1 中修复，并建议用户升级到 1.22.1。来源包含 CVE 记录与 Allura 官方站点等引用，报告人署名 hataehoon，发布时间为 Nov 06。
13:53oss-security（开源安全披露）
oss-security 于 11 月 6 日披露一项关于 OpenSSH（文中为 10.6p2）与 musl libc 组合的 “password authentication bypass” 问题。披露内容展示在未使用 PAM（--without-pam）、且 shadow 文件中不包含有效密码的条件下，账户被以 *、!、!!、*LK* 等锁定/标记形式处理，但密码认证仍可保持开启并在测试中观察到通过现象。文中提到每账号交错采样与仅认证请求时间可观测等实验细节，并表示 harness 与原始数据可按请求提供。
