보안
OpenSSH 'SSHole' 취약점, PAM 없는 musl 기반 리눅스에서 257~1,024자 비밀번호가 비밀번호 없는 계정에 통과…OpenSSH 10.6p2에서 수정
PAM 없는 musl 기반 리눅스(알파인 기본 등)에서 257~1,024자 비밀번호가 비밀번호 없는 계정에 통하는 오래된 OpenSSH 결함. 10.6p2에서 수정됐다.
이 결함은 특정 구성에만 해당하며 리눅스 전반의 문제가 아니다. OpenSSH는 2026년 11월 5일 'SSHole'로 불리는 인증 우회를 고친 Portable OpenSSH 10.6p2를 내놨다. 일부 매체는 CVE-2026-123158로 추적한다. C 라이브러리 musl을 쓰고 PAM 없이 sshd를 돌리는 리눅스(알파인 기본 OpenSSH 패키지 등)에서는 원래 비밀번호를 받지 않아야 할 계정에 257~1,024자 비밀번호가 통한다. 일부 시스템에서는 root도 포함된다. 연구자의 저장소는 이 동작이 2016년으로 거슬러 올라간다고 말한다.
핵심 요약
- 영향받는 환경: musl libc로 빌드되고 PAM 없이 실행되며 비밀번호 인증이 켜진 sshd(OpenSSH 기본값). 알파인, OpenWrt, Buildroot, Yocto가 보도에 거론된다.
- 대상 계정: 비밀번호 필드가 별표(*)뿐인 계정. 잠긴 계정, 키 전용 계정, 일부 시스템의 root가 포함된다.
- 원리: 256바이트를 넘으면 musl의 해시 함수가 실패해 별표를 반환하고, 이것이 저장된 별표와 일치한다. 그래서 257~1,024자 비밀번호가 검증을 통과한다.
- 조치: OpenSSH 10.6p2나 배포판의 수정 패키지로 업데이트하거나, 그때까지 PasswordAuthentication을 no로 설정한다. OpenSSH 개발자 데미언 밀러는 영향받는 운영자에게 즉시 조치하라고 촉구했다.
버그는 얼마나 오래됐나
연구자인 Wakefield의 외즈귄 퀼테킨은 저장소에서 2016년부터 존재했다고 적었고, 시험한 가장 오래된 버전인 2017년 musl 1.1.16 위의 OpenSSH 7.5p1도 영향을 받았다고 한다. iTnews는 긴 비밀번호의 타이밍 결함을 고친 것이 이번 우회의 바탕을 마련했다는 아이러니를 짚는다. 정확한 시작 시점은 연구자의 판단이다.
CVE와 심각도
SecurityWeek와 IONIX는 CVE-2026-123158, CVSS 3.1 기준 8.1이라고 전하는 반면 Orca Security는 게시 시점에 아직 CVE가 할당되지 않았다고 했다. 둘을 조율하지는 못했다. 밀러는 결함이 sshd 자체가 아니라 sshd를 통해 악용될 수 있다고 말했고, 10.6p2의 수정은 네 글자 미만의 저장 해시를 거부한다.
확립되지 않은 점
- 실제 공격에서 악용됐는지: 우리가 본 보도에는 없다.
- 정확한 하한: 대부분 257바이트, 일부는 256이라고 한다.
- 거론된 것 외의 배포판이 영향받는지: PAM 없는 musl과 비밀번호 인증 활성 여부에 달렸다.
- 모든 공급업체가 패치를 냈는지: 사용하는 배포판을 확인하라.
비교 표
| 항목 | 2026년 11월 7일 기준 공표 내용 | 출처 |
|---|---|---|
| 수정 버전 | Portable OpenSSH 10.6p2, 2026년 11월 5일 | IONIX |
| 식별자 | SecurityWeek와 IONIX에 따르면 CVE-2026-123158, CVSS 8.1 | SecurityWeek |
| 발동 조건 | 비밀번호 필드가 별표인 계정에 257~1,024바이트 비밀번호 | iTnews |
| 조건 | musl libc, PAM 없는 sshd, 비밀번호 인증 활성 | IONIX |
| 우회책 | 패치 전까지 PasswordAuthentication no | GitHub (oz9un/sshole) |
자주 묻는 질문
모든 리눅스 서버가 영향받나
아니다. 보도에 따르면 musl libc, PAM 없는 sshd, 비밀번호 인증이 필요하며 대부분의 주요 배포판은 glibc를 쓴다.
키 전용 로그인이면 안전한가
비밀번호 인증을 끄면 이 경로는 막히지만 근본 해결은 업데이트다.
패치가 있나
그렇다. Portable OpenSSH 10.6p2이며, 사용하는 배포판의 수정 패키지를 확인하라.
방법과 한계
출처는 2026년 11월 7일에 확인했다. 검색 결과로 반환된 SecurityWeek, iTnews, 연구자의 GitHub 저장소, IONIX를 읽었으나 결함을 직접 시험하지는 않았다. 귀하의 시스템에 대한 보안 조언이 아니며 공급업체의 안내를 따르라.
출처
- SecurityWeek: OpenSSH Rushes Patches for 'SSHole' Authentication Bypass (확인일: 2026-11-07)
- iTnews: Lightweight Linux distros vulnerable to *sshole password bypass (확인일: 2026-11-07)
- GitHub (oz9un/sshole): openssh on musl accepted any 257+ char password for accounts with no password (확인일: 2026-11-07)
- IONIX: SSHhole (CVE-2026-123158) and how IONIX is helping you respond (확인일: 2026-11-07)
