Faille *sshole : un mot de passe de 257 caractères ouvrait OpenSSH sur Alpine et les systèmes musl
Summary
Cet article décrit une vulnérabilité nommée *sshole affectant OpenSSH sur musl et Alpine lorsque PAM est désactivé. Elle permet à un compte marqué par un astérisque dans /etc/shadow d'accepter n'importe quel mot de passe de 257 à 1024 octets, compromettant potentiellement l'accès SSH. Le correctif OpenSSH 10.6p2 et les paquets corrigés d'Alpine ont été publiés en 2026; l'article détaille les mécanismes, les serveurs exposés et les mesures de mitigation (mise à jour, désactivation par mot de passe, vérification des logs et des comptes).