Deutschland
The Morning Dev

Nur die Nachrichten, die man kennen sollte

‹
 
A68/100

Sicherheitslücke · hoch · CVSS 8.1

OpenSSH akzeptiert auf Alpine Linux ohne PAM jedes lange Passwort

Tier A · Heute patchen – Vor dem Feierabend

Wer betroffen ist: Alpine-Server mit OpenSSH ohne PAM und musl-Bibliothek

Tier A, weil: Kerninfrastruktur oder verbreitetes Werkzeug UND aus der Ferne, ohne Login UND volle Übernahme

Reichweite

Angriff

Schaden

Fix

Kerninfrastruktur · Verbreitetes Werkzeug · Exploit öffentlich · Aus der Ferne, ohne Login · Volle Übernahme

Was zu tun ist

  1. OpenSSH auf mindestens Version 10.6p2 aktualisieren
  2. Alpine-Updates einspielen

Kurz gesagt

  • Auf Alpine Linux ohne PAM akzeptiert OpenSSH laut it-daily.net Passwörter mit 257 bis 1.024 Zeichen unabhängig vom eigentlichen Passwort
  • Die Schwachstelle betrifft Systeme mit der C-Bibliothek musl und erlaubt Anmeldungen bei bestimmten Konten
  • OpenSSH 10.6p2 sowie Alpine-Updates beheben das Problem

Warum es wichtig ist

Wer Alpine Linux mit OpenSSH ohne PAM betreibt, könnte sich bei betroffenen Konten ohne gültiges Passwort anmelden lassen. Gerade in Containern und Minimalsystemen, die auf Alpine basieren, ist das relevant.

Die Checkliste hinter dem Tier

Checkliste · 6 von 10 mit Ja
JaTrifft Tech-TeamsEinschätzung: OpenSSH ist Server-Software, die Ops- und IT-Teams betreiben, daher betroffen.
JaKerninfrastrukturEinschätzung: OpenSSH gehört zur Kerninfrastruktur, die fast jedes Team betreibt.
JaVerbreitetes WerkzeugEinschätzung: OpenSSH ist ein weit verbreitetes Werkzeug und Teil der Kerninfrastruktur.
NeinWird ausgenutztit-daily.net: Es wird keine beobachtete Ausnutzung oder Angriffskampagne berichtet.
JaExploit öffentlichCISA SSVCCISA stuft die Ausnutzung von CVE-2026-123158 als öffentlichen Proof of Concept ein
JaAus der Ferne, ohne LoginCVSSCVE-2026-123158: CVSS 8.1 – übers Netz, ohne Rechte, ohne Zutun des Nutzers
JaVolle ÜbernahmeCVSSCVE-2026-123158: CVSS bewertet die Auswirkung auf Vertraulichkeit und Integrität als hoch
NeinGeheimnisse offengelegtit-daily.net: Es wird kein Diebstahl oder keine Offenlegung von Zugangsdaten oder Daten berichtet.
NeinLieferketteit-daily.net: Es geht um eine Anmeldeschwachstelle, nicht um kompromittierte Pakete oder Updates.
NeinNoch kein Fixit-daily.net: OpenSSH 10.6p2 und Alpine-Updates beheben die Schwachstelle bereits.

Der offizielle Eintrag

Aus CVE.org, CISAs Katalog der Known Exploited Vulnerabilities, FIRST EPSS und der GitHub Advisory Database. Wo diese einen Fakt der Checkliste beantworten, gehen sie der Berichterstattung vor.

  • CVE-2026-123158 ↗CVSS 8.1 high AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

    sshd in OpenSSH before 10.6p2 on Linux, when musl libc is used without PAM, lacks a workaround for a password authentication bypass (related to misinterpretation of whether a string is intended to be a password hash). For some configurations of accounts, any password between 256

    Ausgenutzt
    Proof of Concept öffentlich (CISA)
    EPSS
    1.0% Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen · höher als bei 63% aller CVEs
    Schwachstelle
    CWE-394

    NVDGHSA-4fcc-vm97-gx3x

Zeitleiste

  1. it-daily.net berichtet über die Schwachstelle

  2. it-daily.net – Täglich relevante IT-News für Entscheider

    Linux: Lange Passwörter öffnen gesperrte Konten

Quelle

Linux: Lange Passwörter öffnen gesperrte Konten ↗ it-daily.net – Täglich relevante IT-News für Entscheider · vor 2 Std.

Zuerst gesehen · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden