Sicherheit
OpenSSH-Lücke „SSHole“ lässt Passwörter mit 257 bis 1.024 Zeichen in passwortlose Konten auf musl-Linux ohne PAM; behoben in OpenSSH 10.6p2
Eine alte OpenSSH-Lücke auf musl-Linux ohne PAM, etwa Alpine standardmäßig, lässt 257 bis 1.024 Zeichen in passwortlose Konten. Behoben in 10.6p2.
Die Lücke betrifft nur eine bestimmte Konfiguration, nicht Linux allgemein. OpenSSH veröffentlichte am 5. November 2026 Portable OpenSSH 10.6p2, um eine „SSHole“ genannte Authentifizierungsumgehung zu beheben, von einigen Medien als CVE-2026-123158 geführt. Auf Linux-Systemen mit der C-Bibliothek musl und sshd ohne PAM, etwa dem Standard-OpenSSH-Paket von Alpine, wird ein Passwort mit 257 bis 1.024 Zeichen für Konten akzeptiert, die gar kein Passwort akzeptieren sollten, auf manchen Systemen auch root. Das Repository des Forschers nennt 2016 als Beginn des Verhaltens.
Das Wesentliche
- Wer betroffen ist: sshd mit musl libc ohne PAM und aktivierter Passwortauthentifizierung, dem OpenSSH-Standard. Genannt werden Alpine, OpenWrt, Buildroot und Yocto.
- Welche Konten: solche, deren Passwortfeld nur ein Sternchen ist, also gesperrte Konten, reine Schlüsselkonten und auf manchen Systemen root.
- Warum es funktioniert: Bei mehr als 256 Bytes schlägt musls Hash-Funktion fehl und liefert ein Sternchen, das dem gespeicherten Sternchen entspricht. Ein Passwort von 257 bis 1.024 Zeichen besteht die Prüfung.
- Was zu tun ist: auf OpenSSH 10.6p2 oder das gepatchte Paket der Distribution aktualisieren oder bis dahin PasswordAuthentication auf no setzen. OpenSSH-Entwickler Damien Miller forderte betroffene Betreiber zum sofortigen Handeln auf.
Wie alt ist der Fehler?
Der Forscher Özgün Kültekin von Wakefield schreibt in seinem Repository, er bestehe seit 2016; die älteste getestete Version, OpenSSH 7.5p1 auf musl 1.1.16 von 2017, war ebenfalls betroffen. iTnews merkt die Ironie an, dass die Korrektur einer Timing-Lücke bei langen Passwörtern diese Umgehung vorbereitete. Das genaue Startdatum ist ein Befund des Forschers.
Gibt es eine CVE und wie schwer ist es?
SecurityWeek und IONIX nennen CVE-2026-123158 mit CVSS-3.1-Wert 8,1, während Orca Security bei Veröffentlichung von noch keiner vergebenen CVE sprach. Wir glichen beides nicht ab. Miller sagte auch, der Fehler liege nicht in sshd selbst, sei aber darüber ausnutzbar; die Korrektur 10.6p2 weist gespeicherte Hashes unter vier Zeichen zurück.
Was nicht belegt ist
- Ob Angriffe die Lücke in freier Wildbahn nutzten: in den gesehenen Berichten nicht gemeldet.
- Die genaue Untergrenze: Die meisten Berichte sagen 257 Bytes, manche 256.
- Ob außer den genannten weitere Distributionen betroffen sind: hängt von musl ohne PAM und aktiver Passwortanmeldung ab.
- Ob alle Hersteller Patches lieferten: Prüfen Sie Ihre Distribution.
Übersichtstabelle
| Punkt | Was Stand 7. November 2026 behauptet wird | Quelle |
|---|---|---|
| Behoben in | Portable OpenSSH 10.6p2, 5. November 2026 | IONIX |
| Kennung | CVE-2026-123158, CVSS 8,1, laut SecurityWeek und IONIX | SecurityWeek |
| Auslöser | Passwort mit 257 bis 1.024 Bytes bei Konto mit Sternchen-Feld | iTnews |
| Bedingungen | musl libc, sshd ohne PAM, Passwortanmeldung aktiv | IONIX |
| Umgehung | PasswordAuthentication no bis zum Patch | GitHub (oz9un/sshole) |
FAQ
Sind alle Linux-Server betroffen?
Nein. Laut Berichten braucht es musl libc, sshd ohne PAM und Passwortanmeldung; die meisten gängigen Distributionen nutzen glibc.
Schützt mich reiner Schlüssel-Login?
Das Abschalten der Passwortanmeldung schließt den Weg; die Lösung bleibt das Update.
Gibt es einen Patch?
Ja, Portable OpenSSH 10.6p2; prüfen Sie das gepatchte Paket Ihrer Distribution.
Methode und Grenzen
Quellen am 7. November 2026 geprüft. Wir lasen SecurityWeek, iTnews, das GitHub-Repository des Forschers und IONIX in den Suchergebnissen; die Lücke testeten wir nicht. Dies ist keine Sicherheitsberatung für Ihre Systeme; folgen Sie den Hinweisen Ihres Anbieters.
Quellen
- SecurityWeek: OpenSSH Rushes Patches for 'SSHole' Authentication Bypass (geprüft am 2026-11-07)
- iTnews: Lightweight Linux distros vulnerable to *sshole password bypass (geprüft am 2026-11-07)
- GitHub (oz9un/sshole): openssh on musl accepted any 257+ char password for accounts with no password (geprüft am 2026-11-07)
- IONIX: SSHhole (CVE-2026-123158) and how IONIX is helping you respond (geprüft am 2026-11-07)
Einen Fehler in diesem Artikel entdeckt? Melden Sie ihn · Unsere Korrekturrichtlinie
