Sicurezza
La falla «SSHole» di OpenSSH fa entrare con password da 257 a 1.024 caratteri in account senza password su Linux musl senza PAM; corretta in OpenSSH 10.6p2
Una falla datata di OpenSSH su Linux musl senza PAM, come Alpine di default, fa entrare in account senza password con 257-1.024 caratteri. Corretta.
La falla riguarda solo una configurazione specifica, non Linux in generale. OpenSSH ha rilasciato OpenSSH portable 10.6p2 il 5 novembre 2026 per correggere un bypass di autenticazione soprannominato SSHole, tracciato come CVE-2026-123158 da alcune testate. Sui sistemi Linux che usano la libreria C musl ed eseguono sshd senza PAM, come il pacchetto OpenSSH predefinito di Alpine, una password da 257 a 1.024 caratteri è accettata per account che non dovrebbero accettarne alcuna, incluso root su alcuni sistemi. Il repository del ricercatore dice che il comportamento risale al 2016.
L'essenziale
- Chi è colpito: sshd compilato con musl libc e senza PAM, con autenticazione a password attiva, impostazione predefinita di OpenSSH. Sono citati Alpine, OpenWrt, Buildroot e Yocto.
- Quali account: quelli il cui campo password è solo un asterisco, cioè account bloccati, account a sola chiave e root su alcuni sistemi.
- Perché funziona: oltre 256 byte la funzione di hash di musl fallisce e restituisce un asterisco, che coincide con l'asterisco memorizzato. Una password da 257 a 1.024 caratteri supera il controllo.
- Che cosa fare: aggiornare a OpenSSH 10.6p2 o al pacchetto corretto della distribuzione, oppure impostare PasswordAuthentication su no nel frattempo. Lo sviluppatore OpenSSH Damien Miller ha chiesto di agire subito.
Da quanto esiste il bug?
Il ricercatore, Özgün Kültekin di Wakefield, scrive nel suo repository che esiste dal 2016 e che la versione più vecchia provata, OpenSSH 7.5p1 su musl 1.1.16 del 2017, era colpita. iTnews nota l'ironia: la correzione di una falla di temporizzazione con password lunghe ha preparato questo bypass. La data esatta di inizio è una conclusione del ricercatore.
C'è un CVE e quanto è grave?
SecurityWeek e IONIX riportano CVE-2026-123158 con punteggio CVSS 3.1 di 8,1, mentre Orca Security diceva che non c'era ancora un CVE assegnato alla pubblicazione. Non li abbiamo conciliati. Miller ha detto anche che la falla non è in sshd ma sfruttabile tramite sshd; la correzione 10.6p2 rifiuta hash memorizzati più corti di quattro caratteri.
Che cosa non è accertato
- Se ci siano attacchi che hanno sfruttato la falla: non riportato nelle coperture viste.
- Il limite inferiore esatto: la maggior parte dice 257 byte, alcuni 256.
- Se siano colpite altre distribuzioni oltre a quelle citate: dipende da musl senza PAM e password attiva.
- Se tutti i fornitori abbiano rilasciato patch: controllate la vostra distribuzione.
Tabella riassuntiva
| Punto | Che cosa risulta al 7 novembre 2026 | Fonte |
|---|---|---|
| Corretta in | OpenSSH portable 10.6p2, 5 novembre 2026 | IONIX |
| Identificativo | CVE-2026-123158, CVSS 8,1, secondo SecurityWeek e IONIX | SecurityWeek |
| Innesco | Password da 257 a 1.024 byte su un account con campo asterisco | iTnews |
| Condizioni | musl libc, sshd senza PAM, autenticazione a password attiva | IONIX |
| Mitigazione | PasswordAuthentication no fino alla patch | GitHub (oz9un/sshole) |
FAQ
Tutti i server Linux sono colpiti?
No. Secondo le coperture servono musl libc, sshd senza PAM e autenticazione a password; la maggior parte delle distribuzioni usa glibc.
L'accesso a sola chiave mi protegge?
Disattivare l'autenticazione a password chiude la strada; la soluzione resta l'aggiornamento.
Esiste una patch?
Sì, OpenSSH portable 10.6p2; controllate il pacchetto corretto della vostra distribuzione.
Metodo e limiti
Fonti consultate il 7 novembre 2026. Abbiamo letto SecurityWeek, iTnews, il repository GitHub del ricercatore e IONIX come restituiti dalla ricerca; non abbiamo provato la falla. Questo non è un consiglio di sicurezza per i vostri sistemi; seguite le indicazioni del fornitore.
Fonti
- SecurityWeek: OpenSSH Rushes Patches for 'SSHole' Authentication Bypass (verificato il 2026-11-07)
- iTnews: Lightweight Linux distros vulnerable to *sshole password bypass (verificato il 2026-11-07)
- GitHub (oz9un/sshole): openssh on musl accepted any 257+ char password for accounts with no password (verificato il 2026-11-07)
- IONIX: SSHhole (CVE-2026-123158) and how IONIX is helping you respond (verificato il 2026-11-07)
Avete notato un errore in questo articolo? Segnalatelo · La nostra politica sulle correzioni
