研究人员披露musl Linux高危漏洞

发生了什么

据The Register报道，研究人员Özgün Kültekin发现名为*sshole的漏洞，影响使用musl libc库且未配置PAM、开启密码认证的Linux系统。攻击者通过输入257至1024字节的超长密码，可突破禁用密码账户（如root）的限制获取权限。该漏洞源于musl libc处理密码哈希失败的方式与OpenSSH机制的交互，最早可追溯至2016年。OpenSSH已发布10.6p2及更新版本修复此问题，用户也可通过禁用密码认证进行防御。