OpenSSH: autenticação por senha pode ser contornada em sistemas Linux com musl sem PAM, alerta o CERT-FR

Monitoramento cibernético da Top-Secured: análise independente baseada nas fontes citadas abaixo. A Top-Secured não é afiliada às empresas mencionadas e nunca pedirá seus dados bancários nem suas senhas.

O OpenSSH lançou em 5 de novembro de 2026 a versão 10.6p2 para corrigir um desvio da autenticação por senha no sshd que afeta sistemas Linux baseados na biblioteca C musl sem PAM, como muitos servidores e contêineres Alpine. O CERT-FR emitiu um alerta no mesmo dia e considera a exploração trivial quando as condições estão presentes.

O que aconteceu

Em 5 de novembro de 2026, o projeto OpenSSH publicou a versão portable OpenSSH 10.6p2, que corrige um desvio da autenticação por senha explorável pelo sshd. Segundo as notas da versão, a causa de fundo está fora do OpenSSH, mas o sshd foi alterado para evitá-la. No mesmo dia, o CERT-FR publicou o alerta CERTFR-2026-ALE-015: todas as versões anteriores à 10.6p2 são afetadas e a exploração é considerada trivial se as condições forem atendidas. Nenhum identificador CVE foi informado, e nenhuma das duas fontes relata ataques até agora.

Quem é afetado

Apenas sistemas Linux que usam a biblioteca C musl e executam o sshd sem PAM estão expostos. Segundo o pesquisador que descobriu a falha, a função crypt() da musl falha com senhas de mais de 256 bytes e retorna *, justamente o valor que indica, no /etc/shadow, uma conta sem senha utilizável. Um atacante pode então acessar essa conta (usuários que só usam chave, ou root nas versões recentes do Alpine, segundo o pesquisador) com uma senha exageradamente longa, desde que a autenticação por senha esteja ativa. O pesquisador cita Alpine, OpenWrt, Buildroot, Yocto e as imagens Docker baseadas neles. Distribuições baseadas em glibc, configurações com PAM e o Dropbear não são afetados, segundo a mesma análise.

O que fazer agora

1. Encontre os sistemas expostos: ldd --version mostra musl nas plataformas afetadas; verifique sshd -T | grep -Ei 'usepam|passwordauthentication'.
2. Atualize: apk upgrade openssh e confirme que ssh -V mostra 10.6p2. Reconstrua e reimplante as imagens de contêiner que incluem o sshd.
3. Se a atualização precisar esperar, desative o login por senha com PasswordAuthentication no em um arquivo de /etc/ssh/sshd_config.d/ e reinicie o sshd (rc-service sshd restart). Caso contrário, o CERT-FR recomenda parar o serviço SSH.
4. Procure vestígios: liste as contas cujo campo de senha é * (grep -E '^[^:]+:\*:' /etc/shadow | cut -d: -f1) e procure linhas Accepted password for referentes a elas em /var/log/messages, como sugere o CERT-FR.

Nossa opinião

Imagens leves estão em toda parte, em contêineres e appliances, e herdam os padrões do sistema de base, incluindo um SSH sem PAM. A autenticação apenas por chave deve ser imposta explicitamente na configuração, não presumida: com PasswordAuthentication no, essa falha não teria efeito.

Fontes

• CERT-FR — CERTFR-2026-ALE-015 : Vulnérabilité dans OpenSSH
• OpenSSH — Release notes for OpenSSH 10.6p2
• sshhole — OpenSSH password bypass on musl libc (researcher write-up)

Como escolhemos, verificamos e escrevemos nossas análises →