Segurança
Falha «SSHole» do OpenSSH deixa senhas de 257 a 1.024 caracteres entrarem em contas sem senha em Linux com musl sem PAM; corrigida no OpenSSH 10.6p2
Uma falha antiga do OpenSSH em Linux com musl sem PAM, como o Alpine padrão, deixa entrar em contas sem senha com 257 a 1.024 caracteres. Corrigida.
A falha só afeta uma configuração específica, não o Linux em geral. O OpenSSH lançou o OpenSSH portátil 10.6p2 em 5 de novembro de 2026 para corrigir um desvio de autenticação apelidado SSHole, rastreado como CVE-2026-123158 por alguns veículos. Em sistemas Linux que usam a biblioteca C musl e rodam o sshd sem PAM, como o pacote OpenSSH padrão do Alpine, uma senha de 257 a 1.024 caracteres é aceita em contas que não deveriam aceitar nenhuma, incluindo root em alguns sistemas. O repositório do pesquisador diz que o comportamento vem de 2016.
O essencial
- Quem é afetado: sshd compilado com musl libc e sem PAM, com autenticação por senha ativada, o padrão do OpenSSH. Alpine, OpenWrt, Buildroot e Yocto são citados.
- Quais contas: aquelas cujo campo de senha é apenas um asterisco, ou seja, contas bloqueadas, só com chave e root em alguns sistemas.
- Por que funciona: com mais de 256 bytes, a função de hash do musl falha e devolve um asterisco, que coincide com o asterisco armazenado. Uma senha de 257 a 1.024 caracteres passa na verificação.
- O que fazer: atualizar para o OpenSSH 10.6p2 ou o pacote corrigido da distribuição, ou definir PasswordAuthentication como no até poder. O desenvolvedor do OpenSSH Damien Miller pediu ação imediata.
Desde quando o bug existe?
O pesquisador, Özgün Kültekin da Wakefield, escreve em seu repositório que existe desde 2016 e que a versão mais antiga testada, OpenSSH 7.5p1 em musl 1.1.16 de 2017, também foi afetada. O iTnews nota a ironia de que a correção de uma falha de temporização com senhas longas preparou esse desvio. A data exata de início é uma conclusão do pesquisador.
Há CVE e qual a gravidade?
SecurityWeek e IONIX informam CVE-2026-123158 com pontuação CVSS 3.1 de 8,1, enquanto a Orca Security dizia que ainda não havia CVE atribuído ao publicar. Não conciliamos os dois. Miller também disse que a falha não está no sshd em si, mas pode ser explorada por ele; a correção 10.6p2 rejeita hashes armazenados com menos de quatro caracteres.
O que não está estabelecido
- Se ataques usaram a falha na prática: não relatado nas coberturas vistas.
- O limite inferior exato: a maioria diz 257 bytes, alguns 256.
- Se outras distribuições além das citadas são afetadas: depende de musl sem PAM e senha ativada.
- Se todos os fornecedores lançaram patches: verifique sua distribuição.
Tabela-resumo
| Ponto | O que está declarado em 7 de novembro de 2026 | Fonte |
|---|---|---|
| Corrigida em | OpenSSH portátil 10.6p2, 5 de novembro de 2026 | IONIX |
| Identificador | CVE-2026-123158, CVSS 8,1, segundo SecurityWeek e IONIX | SecurityWeek |
| Gatilho | Senha de 257 a 1.024 bytes em conta com campo de asterisco | iTnews |
| Condições | musl libc, sshd sem PAM, autenticação por senha ativada | IONIX |
| Contorno | PasswordAuthentication no até aplicar o patch | GitHub (oz9un/sshole) |
Perguntas frequentes
Todos os servidores Linux são afetados?
Não. Segundo as coberturas, é preciso musl libc, sshd sem PAM e autenticação por senha; a maioria das distribuições comuns usa glibc.
Login só por chave me protege?
Desativar a autenticação por senha fecha o caminho; a solução continua sendo atualizar.
Há patch?
Sim, OpenSSH portátil 10.6p2; verifique o pacote corrigido da sua distribuição.
Método e limites
Fontes consultadas em 7 de novembro de 2026. Lemos SecurityWeek, iTnews, o repositório do GitHub do pesquisador e IONIX como retornados na busca; não testamos a falha. Isto não é aconselhamento de segurança para seus sistemas; siga as orientações do seu fornecedor.
Fontes
- SecurityWeek: OpenSSH Rushes Patches for 'SSHole' Authentication Bypass (verificado em 2026-11-07)
- iTnews: Lightweight Linux distros vulnerable to *sshole password bypass (verificado em 2026-11-07)
- GitHub (oz9un/sshole): openssh on musl accepted any 257+ char password for accounts with no password (verificado em 2026-11-07)
- IONIX: SSHhole (CVE-2026-123158) and how IONIX is helping you respond (verificado em 2026-11-07)
Encontrou um erro neste artigo? Avise-nos · Nossa política de correções
