Vývojáři OpenSSH vydali 5. listopadu 2026 naléhavou aktualizaci 10.6p2. Opravuje chybu, která na systémech s knihovnou musl libc (Alpine Linux, OpenWrt, Buildroot, Yocto) umožňuje přihlásit se přes SSH na účet bez hesla zadáním libovolného hesla dlouhého 257 až 1024 znaků. Chybu pojmenovanou *sshole objevil Ozgun Kultekin ze společnosti Wakefield.

Příčinou je souhra několika historických rozhodnutí. Účty bez hesla mají v /etc/shadow místo hashe hvězdičku. Funkce crypt() v muslu při chybě vrací právě hvězdičku, a chyba nastane u hesel delších než 256 bajtů, protože musl je kvůli ochraně proti DoS útokům odmítá zpracovat. OpenSSH navíc od opravy z roku 2016 (CVE-2016-6210) při kontrole hesla používá sůl jiného účtu. Výsledek crypt() se pak shoduje s hvězdičkou v poli účtu a přihlášení projde. Podle OpenSSH může problém existovat od roku 2016.

Zranitelnost se projeví jen při splnění několika podmínek najednou: sshd běží na muslu bez PAM, je povolené přihlašování heslem, v systému existuje účet s * a zároveň alespoň jeden jiný účet s heslem. Na oficiálních obrazech Alpine pro AWS a Azure splňuje podmínky výchozí uživatel alpine, který má doas bez hesla, takže útočník získá práva roota. Postižené nejsou systémy s glibc, instalace používající PAM (UsePAM yes), servery s vypnutým přihlašováním heslem ani kontejnery, ve kterých neběží sshd. OpenWrt ve výchozím stavu používá Dropbear, který chybou netrpí.

Alpine vydal opravené balíčky pro všechna vydání zpětně až do 3.16. Správci by měli provést apk upgrade openssh (případně apk upgrade -U -a) a restartovat sshd. Pokud aktualizovat nelze, pomůže nastavit PasswordAuthentication no. OpenSSH doporučuje zkontrolovat logy, zda neobsahují záznamy „Accepted password“ u účtů root, alpine nebo účtů používajících jen klíč. Pokud je nelze vysvětlit, je nutné počítat s kompromitací stroje. Útoky zneužívající chybu nejsou zatím hlášeny a v době zveřejnění nebylo přiděleno ani CVE.

Zdroje: *sshole (sshhole.com), bezpečnostní upozornění Alpine Linuxu, Linuxiac, Linux und Ich