무슨 일이 있었나
PAM 없이 빌드된 sshd(musl libc)는 제공된 비밀번호를 crypt()로 해시하여 저장된 필드와 비교합니다. 비밀번호 필드가 '*'인 계정(키 전용/비밀번호 없음)의 경우, 긴 비밀번호(256-1024자) 케이스가 잘못 해석되어 인증을 허용합니다. 공개 후 약 9시간 이내에 악용이 시작되었습니다. 2026-11-09에 CISA KEV에 추가됨(마감 2026-11-12).
왜 중요한가
많은 팀이 모델 서빙, ML 도구 및 AI 컨테이너 워크로드를 실행하는 데 사용하는 Alpine/musl 이미지에서의 원샷, 인증되지 않은 인증 우회는 공격자에게 AI 인프라를 실행하는 호스트에서 대화형 셸을 제공하며, 프롬프트가 AI 기반 무기화에 대해 표시하는 압축된 시간 대 악용 창을 제공합니다. KEV 운영 신호는 즉각적인 패치를 요구합니다.
공격 경로
SSH 포트에 도달할 수 있는 원격 인증되지 않은 공격자가 /etc/shadow 비밀번호 필드가 '*'인 계정(비밀번호가 설정되지 않은 계정)에 256-1024자 비밀번호를 보내면, PAM 없이 빌드된 sshd가 이를 잘못 해석하여 수락합니다 — 재시도 없이 단일 연결에서 인증 우회
영향받는 시스템
musl libc로 빌드되고 PAM 없이 실행되는 Linux의 OpenSSH 10.6p2 이전 버전 (Alpine Linux); Alpine openssh-server 패키지의 3.16–3.24 및 edge 브랜치 (수정됨: 3.21.10, 3.22.8, 3.23.8, 3.24.4, edge 10.6_p2-r0)
완화 방안
브랜치별 수정된 버전으로 openssh 업데이트 및 sshd 재시작(패키지 업그레이드는 재시작하지 않음); 또는 PasswordAuthentication no 설정; 또는 UsePAM yes와 함께 openssh-server-pam 사용; 비밀번호 없는 계정에 대한 'Accepted password' sshd 로그 검토, 로그인 배제할 수 없는 노출된 호스트는 손상된 것으로 간주 (https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/)