Apa yang terjadi
Ketika sshd dibangun tanpa PAM (musl libc), ia meng-hash kata sandi yang diberikan dengan crypt() dan membandingkannya dengan bidang yang tersimpan; untuk akun yang bidang kata sandinya '* ' (hanya kunci / tanpa kata sandi), kasus kata sandi panjang (256-1024 karakter) salah dibaca dan memungkinkan autentikasi. Eksploitasi dimulai dalam ~9 jam setelah pengungkapan; ditambahkan ke CISA KEV pada 2026-11-09 (jatuh tempo 2026-11-12).
Mengapa penting
Bypass autentikasi satu kali tanpa autentikasi pada gambar Alpine/musl yang digunakan banyak tim untuk menjalankan serving model, perangkat ML, dan beban kerja kontainer AI memberikan penyerang shell interaktif pada host yang menjalankan infrastruktur AI, dan jendela waktu eksploitasi terkompresi yang sama yang ditandai prompt untuk senjata berbasis AI. Sinyal operasional KEV mewajibkan penambalan segera.
Vektor serangan
Penyerang jarak jauh tanpa autentikasi yang dapat mencapai port SSH mengirim kata sandi 256–1024 karakter ke akun yang bidang kata sandi /etc/shadow-nya '* ' (akun tanpa kata sandi), yang disalahartikan dan diterima oleh sshd tanpa PAM — bypass autentikasi dalam satu koneksi tanpa percobaan ulang
Sistem yang terdampak
OpenSSH sebelum 10.6p2 di Linux yang dibangun dengan musl libc tanpa PAM (Alpine Linux); paket openssh-server Alpine di cabang 3.16–3.24 dan edge (diperbaiki: 3.21.10, 3.22.8, 3.23.8, 3.24.4, edge 10.6_p2-r0)
Mitigasi
Perbarui openssh ke versi yang diperbaiki sesuai cabang dan mulai ulang sshd (memutakhirkan paket tidak memulai ulang); atau setel PasswordAuthentication no; atau gunakan openssh-server-pam dengan UsePAM yes; tinjau log sshd untuk 'Accepted password' pada akun tanpa kata sandi, dan perlakukan host yang terekspos sebagai disusupi jika login tidak dapat dikesampingkan (https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/)