OpenSSH 10.6p2 corrige brecha em servidores Linux com musl
Alpine Linux, OpenWrt, Buildroot e Yocto estão entre os ambientes que podem ser afetados quando o SSH aceita senhas e o PAM está desligado.
Redação ·
Uma senha de mais de 256 caracteres podia abrir uma conta Linux que deveria estar bloqueada. A falha, apelidada de “*sshole”, foi divulgada em 5 de novembro de 2026 e levou o projeto OpenSSH a lançar a versão 10.6p2, com uma correção para configurações específicas de servidores que usam a biblioteca musl.
O risco depende de uma combinação de condições: o servidor precisa usar musl, estar com a autenticação por senha ativa e não usar o PAM, mecanismo que ajuda a validar logins no Linux. Além disso, a conta afetada deve ter o campo de senha bloqueado com um asterisco. Alpine Linux, OpenWrt, Buildroot e Yocto estão entre os sistemas que podem ter essa combinação.
Como a senha longa contornava o bloqueio
A musl limita a 256 bytes o processamento de certas senhas. Quando a entrada ultrapassa esse tamanho, a biblioteca pode devolver um asterisco como resultado. Em uma interação específica entre esse retorno e o tratamento de autenticação do OpenSSH, o caractere podia coincidir com o valor usado para bloquear a conta. Assim, uma senha longa enviada por alguém com acesso ao serviço SSH podia resultar em login, sem que a pessoa conhecesse a senha real.
O relatório técnico do pesquisador Özgün Kültekin descreve entradas entre 257 e 1.024 bytes para explorar o problema. Isso não significa que qualquer servidor Linux esteja vulnerável: máquinas que usam glibc, como as instalações comuns de Debian, Ubuntu e Fedora, não são afetadas por esse comportamento, e a presença do PAM também impede essa rota específica.
O caso merece atenção em certas imagens oficiais de nuvem do Alpine. Segundo a reportagem, elas incluem uma conta padrão chamada “Alpine” com privilégios para executar comandos administrativos sem senha. Nessa configuração, um acesso à conta pode permitir chegar ao controle administrativo do sistema.
O que fazer nos servidores
A versão 10.6p2 do OpenSSH, publicada no mesmo dia da divulgação, inclui uma correção de segurança para o problema em sistemas Linux com musl e PAM desativado. Administradores devem atualizar o OpenSSH pelos canais da distribuição e conferir se os pacotes específicos do sistema também receberam correção.
Se a atualização não puder ser aplicada de imediato, a recomendação é desligar a autenticação por senha no SSH e usar outro método, como chaves públicas. A medida reduz a exposição enquanto o pacote atualizado não é instalado.
Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: