Über CVE-2026-123158 akzeptiert OpenSSH auf Alpine Linux ohne PAM jedes Passwort mit 257 bis 1.024 Zeichen. OpenSSH 10.6p2 und Alpine-Updates beheben das.
OpenSSH
Linux: Lange Passwörter öffnen gesperrte Konten
Bildquelle: Stanislaw Mikulski / Shutterstock.com
Eine Schwachstelle in OpenSSH auf Linux-Systemen mit der C-Bibliothek musl erlaubt Angreifern, sich bei bestimmten Konten mit einem beliebigen sehr langen Passwort anzumelden. Betroffen sind unter anderem Alpine Linux, OpenWrt, Buildroot, Yocto und viele darauf basierende Docker-Images. Die Lücke trägt die Kennung CVE-2026-123158 und ist mit einem CVSS-Wert von 8,1 als hoch eingestuft. Entdeckt hat sie der Sicherheitsforscher Özgün Kültekin vom Unternehmen Wakefield, der sie unter dem Namen „*sshole” beschrieben hat. Das OpenSSH-Projekt hat am 5. November die Version 10.6p2 veröffentlicht, Alpine am selben Tag korrigierte Pakete.
„Für einige Kontokonfigurationen ist jedes Passwort zwischen 256 und 1.024 Zeichen erfolgreich”, heißt es im CVE-Eintrag.
Ein Stern trifft auf einen Stern
Unter Unix steht in der Passwortdatei bei Konten ohne gültiges Passwort ein Stern („*”). Solche Konten lassen sich etwa nur per SSH-Schlüssel nutzen. Die Funktion crypt() von musl lehnt Passwörter mit mehr als 256 Byte ab und gibt dann ebenfalls einen Stern zurück. OpenSSH hasht bei Konten ohne echten Hash das eingegebene Passwort mit dem Salt eines anderen Kontos, um Zeitunterschiede bei der Anmeldung zu verschleiern.
Ist das Passwort zu lang, stimmt der zurückgegebene Stern mit dem Stern in der Passwortdatei überein, und die Anmeldung gelingt beim ersten Versuch. OpenSSH 10.6p2 lehnt nun gespeicherte Passwortwerte ab, die kürzer als vier Zeichen sind. Gefunden hat Kültekin den Fehler mit KI-Agenten, die rund 17.600 ungewöhnliche Anmeldeversuche in verschiedenen Konfigurationen testeten.
Wer betroffen ist
Ausnutzbar ist die Lücke, wenn sshd auf einem musl-System ohne PAM läuft, was beim Paket openssh-server von Alpine standardmäßig der Fall ist, die Anmeldung per Passwort aktiviert ist und ein Konto mit einem Stern als Passwort existiert. Zudem muss mindestens ein anderes Konto einen echten Passwort-Hash haben. Betroffen sind etwa reine Schlüssel-Konten und auf den offiziellen Alpine-Cloud-Images der Versionen 3.18.11 bis 3.24.3 der Standardnutzer „alpine”, der über doas Root-Rechte erhalten kann. Konten, die mit einem Ausrufezeichen gesperrt sind, sind nicht betroffen. Systeme mit glibc wie Debian, Ubuntu oder Fedora sowie Installationen mit PAM sind ebenfalls nicht betroffen.
Korrigierte Pakete für alle Zweige
Alpine hat korrigierte Pakete für alle Zweige ab Version 3.16 veröffentlicht, darunter openssh 10.6_p2-r0 für edge, 10.3_p1-r2 für 3.24, 10.2_p1-r1 für 3.23 und 10.0_p1-r11 für 3.22. Ob ein System angreifbar ist, lässt sich als root mit dem Befehl sshd -T | grep -i -E ‘passwordauthentication|usepam’ prüfen. Aktualisieren lässt sich OpenSSH mit apk upgrade -U -a, danach muss der Dienst neu gestartet werden. Container-Images mit älteren Paketen sollten neu gebaut werden. Als Übergangslösung empfehlen Alpine und OpenSSH, die Anmeldung per Passwort mit „PasswordAuthentication no” abzuschalten.
Die OpenSSH-Entwickler verzichten inzwischen auf lange Sperrfristen vor der Veröffentlichung von Sicherheitslücken, da KI-Werkzeuge gemeldete Fehler teils innerhalb weniger Stunden selbst wiederfinden. Korrekturen sollen künftig erscheinen, sobald sie fertig sind.
(red)
