Sécurité
La faille « SSHole » d'OpenSSH permet à des mots de passe de 257 à 1 024 caractères d'ouvrir des comptes sans mot de passe sur Linux musl sans PAM ; corrigée dans OpenSSH 10.6p2
Une faille ancienne d'OpenSSH sur Linux musl sans PAM, comme Alpine par défaut, laisse entrer sur des comptes sans mot de passe avec 257 à 1 024 caractères.
La faille ne touche qu'une configuration précise, pas Linux en général. OpenSSH a publié OpenSSH portable 10.6p2 le 5 novembre 2026 pour corriger un contournement d'authentification surnommé SSHole, suivi sous CVE-2026-123158 par certains médias. Sur les systèmes Linux qui utilisent la bibliothèque C musl et exécutent sshd sans PAM, comme le paquet OpenSSH par défaut d'Alpine, un mot de passe de 257 à 1 024 caractères est accepté pour des comptes qui ne devraient accepter aucun mot de passe, dont root sur certains systèmes. Le dépôt du chercheur indique que le comportement remonte à 2016.
L'essentiel
- Qui est touché : sshd compilé avec musl libc et exécuté sans PAM, avec l'authentification par mot de passe activée, ce qui est le défaut d'OpenSSH. Alpine, OpenWrt, Buildroot et Yocto sont cités.
- Quels comptes : ceux dont le champ de mot de passe n'est qu'un astérisque, donc comptes verrouillés, comptes par clé seule et root sur certains systèmes.
- Pourquoi ça marche : au-delà de 256 octets, la fonction de hachage de musl échoue et renvoie un astérisque, qui correspond alors à l'astérisque stocké. Un mot de passe de 257 à 1 024 caractères passe donc la vérification.
- Que faire : passer à OpenSSH 10.6p2 ou au paquet corrigé de votre distribution, ou mettre PasswordAuthentication à no en attendant. Le développeur d'OpenSSH Damien Miller a demandé d'agir immédiatement.
Depuis quand le bogue existe-t-il ?
Le chercheur, Özgün Kültekin de Wakefield, écrit dans son dépôt qu'il existe depuis 2016 et que la plus ancienne version testée, OpenSSH 7.5p1 sur musl 1.1.16 de 2017, était touchée aussi. iTnews relève l'ironie : le correctif d'une faille de timing avec de longs mots de passe a préparé ce contournement. La date de départ exacte est une conclusion du chercheur.
Y a-t-il un CVE et quelle gravité ?
SecurityWeek et IONIX rapportent CVE-2026-123158 avec un score CVSS 3.1 de 8,1, alors qu'Orca Security indiquait qu'aucun CVE n'était encore attribué à sa publication. Nous n'avons pas concilié les deux. Miller a aussi dit que la faille n'est pas dans sshd lui-même mais exploitable par lui ; le correctif 10.6p2 rejette les hash stockés de moins de quatre caractères.
Ce qui n'est pas établi
- Si des attaques ont exploité la faille dans la nature : non rapporté dans les articles vus.
- La borne basse exacte : la plupart des rapports disent 257 octets, certains 256.
- Si d'autres distributions que celles citées sont touchées : cela dépend de musl sans PAM et du mot de passe activé.
- Si tous les éditeurs ont livré des correctifs : vérifiez votre distribution.
Tableau récapitulatif
| Point | Ce qui est affirmé au 7 novembre 2026 | Source |
|---|---|---|
| Corrigée dans | OpenSSH portable 10.6p2, 5 novembre 2026 | IONIX |
| Identifiant | CVE-2026-123158, CVSS 8,1, selon SecurityWeek et IONIX | SecurityWeek |
| Déclencheur | Mot de passe de 257 à 1 024 octets sur un compte dont le champ est un astérisque | iTnews |
| Conditions | musl libc, sshd sans PAM, authentification par mot de passe activée | IONIX |
| Contournement | PasswordAuthentication no en attendant le correctif | GitHub (oz9un/sshole) |
FAQ
Tous les serveurs Linux sont-ils touchés ?
Non. Selon les articles, il faut musl libc, sshd sans PAM et l'authentification par mot de passe ; la plupart des distributions courantes utilisent glibc.
Une connexion par clé seule me protège-t-elle ?
Désactiver l'authentification par mot de passe ferme la voie ; la solution reste la mise à jour.
Un correctif existe-t-il ?
Oui, OpenSSH portable 10.6p2 ; vérifiez le paquet corrigé de votre distribution.
Méthode et limites
Sources consultées le 7 novembre 2026. Nous avons lu SecurityWeek, iTnews, le dépôt GitHub du chercheur et IONIX tels que restitués par la recherche ; nous n'avons pas testé la faille. Ceci n'est pas un conseil de sécurité pour vos systèmes ; suivez les consignes de votre éditeur.
Sources
- SecurityWeek : OpenSSH Rushes Patches for 'SSHole' Authentication Bypass (vérifié le 2026-11-07)
- iTnews : Lightweight Linux distros vulnerable to *sshole password bypass (vérifié le 2026-11-07)
- GitHub (oz9un/sshole) : openssh on musl accepted any 257+ char password for accounts with no password (vérifié le 2026-11-07)
- IONIX : SSHhole (CVE-2026-123158) and how IONIX is helping you respond (vérifié le 2026-11-07)
Une erreur dans cet article ? Signalez-la · Notre politique de corrections
