Alpine Linux 与 OpenSSH 修复一个可被单次连接攻破的严重漏洞

这个危险的 Linux 安全漏洞必须尽快修补。阅读完整简介 2026 年 11 月 6 日，美国东部时间晚上 7：00 RNMitra/iStock/Getty Images Plus ZDNET 的核心要点 一个古老的缺陷正在影响 Alpine Linux 和其他几个 Linux 发行版。情况糟糕到了极点。你必须尽快修补，然后重启已修补的软件。对 Linux 服务器而言，完美的噩梦场景就是攻击者只需触达服务器的 Secure Shell（SSH）端口，就能大摇大摆地走进去并接管它。这正是广受欢迎的轻量级 Linux 服务器 Alpine Linux 所遭遇的情况。更糟的是，这发生在 Alpine Linux 刚刚躲过其 GitLab 实现中一个安全漏洞级别的子弹之后仅几天。另见：Linux Mint 27 下个月发布，我已经喜欢上它了：可以期待什么 有多糟？糟到了极点。Alpine Linux 在其安全公告中解释，如果攻击者能够触达存在漏洞的服务器的 SSH 端口，他们就能“通过一次连接”进入，而且该攻击“每次都有效，不需要重试”。正如安全工程师 Gregory Bryant 在其 LinkedIn 帖子中所解释的：大多数身份验证绕过都来自复杂的逻辑链，但昨天的 Alpine Linux OpenSSH 漏洞（CVE-2026-123158）归结为一个字符：*。” 如果你运行 Alpine Linux（或其他基于 musl 的发行版），使用默认的 openssh-server 包（没有可插拔认证模块（PAM））并启用了 PasswordAuthentication，攻击者只需发送长度在 257 到 1024 字节之间的密码，就能登录到密码已禁用或仅密钥的账户。Alpine Linux 并不是唯一使用 musl 的操作系统，musl 是标准 C 库（libc）的轻量级版本。其他使用 musl 且可能受影响的操作系统包括 Adélie Linux；Void Linux；Sabotage Linux；OpenWrt，一个 Android 变体，以及用于构建嵌入式 Linux 发行版的 Yocto Project。另见：这个巧妙的银行诈骗通过伪造自身消亡来持续进行网络钓鱼 生产商业嵌入式 Linux 发行版 Wind River Linux 的 Wind River 也在调查该问题。一位公司代表告诉我：“Wind River 认真对待安全。我们正在积极审查所报告的漏洞并评估其潜在影响。我们将根据需要采取适当行动。” 在幕后，当 OpenSSH 在没有 PAM 的情况下构建时，它通过使用 C 库的 crypt() 函数对尝试的密码进行哈希来验证密码。然后它将结果与账户存储的密码字段进行比较。到目前为止，一切正常。但当密钥长度超过 256 字节时，musl 的 crypt() 函数会返回字符串 * 作为错误指示。这也正是任何没有密码的账户（例如仅密钥账户）的密码字段所保存的内容。因此，“哈希”匹配，登录成功，攻击者便走了进去。另见：新的 Cutefish Linux 发行版可能是最好的 MacOS 克隆 要利用它，攻击者只需要这样一个账户的名称。攻击者还需要机器上至少有一个其他账户具有 5 或 6 密码哈希，然后发送 257 到 1，024 字节的密码。根据 Alpine 的说法，一个拥有密码的用户就足以让每个无密码账户都可被访问。在使用 glibc 的 crypt() 的 Linux 系统中（几乎所有的系统都是如此），同样的尝试在出错时会返回 NULL，sshd 已经会拒绝这种情况，因此 Debian、Ubuntu、Fedora 等不受影响。据发现该问题的组织 sshole 称，这是一个自 2016 年以来一直隐藏的副作用。Alpine 表示，它检查的每个版本都受影响：3.21 到 3.24、edge，以及较旧的 3.16 到 3.20 分支。暴露需要以下条件：在大多数情况下，root 不会直接暴露。自大约 Alpine 3.16 起，它就以 root: 的形式随基础镜像发布，但 OpenSSH 默认的 PermitRootLogin prohibit-password 会阻止它。另一个可以成为 root 的账户（例如通过 doas）仍然为攻击者提供了通往 root 的路径。Alpine 特别指出其官方 tiny-cloud 镜像（版本 3.18.11 到 3.24.3）尤其脆弱。这些镜像附带一个密码字段为 * 的 alpine 用户和无密码的 doas。它们在首次启动时是安全的，但一旦机器上存在任何 6 哈希，就会变得可利用。当管理员设置控制台密码或用户数据添加带有哈希密码的用户时，就可能发生这种情况，这意味着基本上所有这些镜像都如此。Alpine 于周四发布了 3.21.10、3.22.8、3.23.8 和 3.24.4，其中包含 OpenSSH 修复等安全更改。它还发布了针对每个版本（回溯到 3.16）的修复包。Alpine 3.21 已于 11 月 1 日结束支持。刚刚发布的 OpenSSH 10.6p2 在 sshd 中避免了该问题。Alpine 的稳定分支携带了针对同一问题的补丁。你应该运行 apk upgrade -U -a，然后使用 rc-service sshd restart 重启守护进程。Alpine 强调，升级软件包不会替换正在运行的守护进程。任何无法更新的人应在确认密钥登录有效后，设置 PasswordAuthentication no 并重启 sshd。另见：Maze Linux 是我测试过的最好的注重安全的发行版 为了检查是否遭到攻击，Alpine 告诉管理员在 /var/log/messages 中搜索“Accepted password for”行，这些行指向没有密码的账户。它还建议审查专用的 OpenBSD 应用程序子执行器（doas）使用情况以及最近创建的用户、文件和授权密钥。“如果你无法排除某次登录，请将该机器视为已受损。”我知道，这正是你周末想要的，但事情就是这样。登录以评论 登出 社区准则 请接受 cookie 以查看由 Disqus 提供支持的评论。