【已复现】musl 无 PAM 环境可绕过口令认证——OpenSSH sshd 认证绕过漏洞（CVE-2026-123158）

漏洞成因

2016 年，OpenSSH 为统一口令校验的耗时引入了借用盐值的机制：目标账号没有真实口令哈希时，sshd 会借用其他账号的盐值计算一次口令哈希。musl libc 的口令哈希函数在口令超长等失败场景下返回单字符 *，而锁定账号保存的标记同样是 *；OpenSSH 10.6p1 及更早版本在未启用 PAM 时直接比较两者，未校验标记长度，导致失败返回值被误判为匹配。OpenSSH 10.6p2 增加了最小长度校验，修复该问题。

漏洞影响

攻击者可绕过口令认证，登录口令被设为 *、本应拒绝所有口令的账号。此类账号常见于 root、仅密钥部署账号、LDAP 占位账号及 Alpine 云镜像默认用户；若该账号可免密提权，攻击者可能进一步取得 root 权限，导致服务器被完全控制或敏感数据泄露。该问题不影响所有 OpenSSH 部署，实际范围取决于是否使用 musl libc、是否启用 PAM 以及账号配置。该问题已分配 CVE-2026-123158，CVE 记录给出的 CVSS 3.1 基础评分为 8.1。

利用条件

• sshd 运行于 musl libc 环境，且未启用 PAM，常见于 Alpine、OpenWrt、Buildroot、Yocto 及部分容器镜像。

• 目标 sshd 开启口令认证，即 PasswordAuthentication yes。

• 目标账号的口令锁定标记为 *，且系统中另有使用真实哈希的账号供 sshd 取盐。

• 攻击者能够提交超过 256 字节的口令；公开分析给出的可触发区间为 257 至 1024 字节。

处置优先级：高

OpenSSH 7.3-10.6p1

受影响： Linux + musl libc、sshd 未启用 PAM 且开启口令认证的部署，常见于 Alpine、OpenWrt、Buildroot、Yocto 及基于这些系统的容器和云镜像。

不受影响： 主流 glibc 发行版、启用 PAM 的 sshd，以及 Dropbear、OpenBSD。

升级修复方案

建议升级至 OpenSSH 10.6p2 或更高版本。官方发布说明见 https://www.openssh.com/releasenotes.html#10.6p2 。使用发行版软件包的用户应更新至发行版发布的安全版本，部分发行版已回移修复；自行编译的用户应重新编译并替换 sshd，升级后重启服务。

临时缓解方案

以下方案为应急临时措施，可能影响业务功能，升级完成后应及时移除。

若无法立即升级，建议临时将 PasswordAuthentication 设为 no，仅保留密钥或其他认证方式，并限制 SSH 服务的网络可达范围。同时应排查认证日志中口令被设为 * 的账号是否出现 Accepted password 记录。

长亭安全应急响应中心已完成复现验证。在 Linux + musl libc、sshd 未启用 PAM 的验证环境中，攻击者无需有效口令即可登录口令锁定标记为 * 的账号。

2026 年 11 月 6 日 长亭安全应急响应中心发布通告

长亭应急响应服务