OpenSSH <10.6p2 musl libc 认证绕过漏洞（CVE-2026-123158）

风险通告 2026-11-06 11:59 浙江

2026年11月5日，阿里云安全监测到 OpenSSH官方披露 OpenSSH <10.6p2 musl libc 认证绕过漏洞（CVE-2026-123158）

OpenSSH 是一款广泛使用的开源 SSH 协议实现。2026年11月6日，OpenSSH 披露并修复了OpenSSH <10.6p2 musl libc 认证绕过漏洞（CVE-2026-123158）。
该漏洞发生在使用 musl libc、且口令认证不经过 PAM 的配置中。在启用口令认证、目标账户口令字段为单个 *，且系统存在可供选择的特定备用盐值等条件下，远程未认证攻击者可通过提交 257～1024 字节的超长口令触发 musl crypt() 的长度限制。该函数返回的错误标记 * 与目标账户的口令字段相等，导致 sshd 将认证错误判定为成功。

CVE-2026-123158
OpenSSH <10.6p2 musl libc 认证绕过漏洞 严重

升级至 OpenSSH 10.6p2 或更高版本，或安装各发行版提供的修复软件包

1、暂时无法升级时，应立即在服务端配置中禁用口令认证 PasswordAuthentication no 。 Alpine Linux 可执行以下命令检查配置并重启服务： 

   sshd -t && rc-service sshd restart 

   sshd -T | grep -i '^passwordauthentication' 

预期结果为 `passwordauthentication no`。存在 `Match` 条件时，应结合 `sshd -T -C` 验证实际连接条件。操作前确认密钥登录可用，并保留当前管理会话，待新会话登录验证成功后再关闭。 

2、限制 SSH 入口仅允许可信管理来源访问，可利用阿里云安全组设置SSH仅对可信地址开放。

3、设置 `PermitRootLogin prohibit-password` 或 `no` 可降低直接以 root 登录的风险

4、入侵排查：检查 SSH 日志中，口令字段为 `*` 的账户是否出现异常 `Accepted password for` 记录，并关联排查免密提权、新增账户、计划任务及 `authorized_keys` 变更。若发现可疑登录，应按主机失陷事件开展调查和处置。

阿里云云安全中心漏洞管理应用漏洞已支持针对该漏洞进行远程扫描检测。

跳转微信打开