Deutschland
The Morning Dev

Nur die Nachrichten, die man kennen sollte

‹
 

Video · Informatik und Programmieren

Die wilde Sicherheitslücke hinter einem *

Das Wichtigste

  • SSHhole (CVE-2026-123158) betrifft OpenSSH seit 2016.
  • Auf musl-Systemen wie Alpine kann ein Account mit einem Stern als Passwort unter bestimmten Bedingungen jedes Passwort mit 257 bis 1024 Byte akzeptieren.
  • Die Beschreibung verweist auf Quellen wie die OpenSSH-Release-Notes, einen Alpine-Beitrag und den CVE-Eintrag.

Warum ansehen · Wer OpenSSH auf Alpine- oder anderen musl-basierten Systemen betreibt, sollte prüfen, ob Accounts mit Stern-Passwort existieren und ob Updates verfügbar sind.

  • OpenSSH
  • CVE-2026-123158
  • musl
  • Alpine Linux

Von Claude aus Titel und Beschreibung zusammengefasst – ein Transkript gab es nicht, für Details also ins Video schauen.

Ganze Videobeschreibung zeigen ›

SSHhole (CVE-2026-123158) steckt seit 2016 in OpenSSH: Auf musl-Systemen wie Alpine nimmt ein Account, in dessen Passwortfeld nur ein Stern steht, unter den richtigen Bedingungen jedes Passwort mit 257 bis 1024 Byte an. [Werbung] Hier geht's zu unserem Partner TryHackMe: https://tryhackme.com/themorpheustutorials Mit meinem Code TMT bekommt ihr 25 % Rabatt auf Premium im Jahresabo. Bei TryHackMe hackt ihr im Browser selbst an Maschinen, die absichtlich verwundbar gebaut sind, und das ganz legal. Meldet euch an, der Einstieg ist kostenlos. Wer einen Angriff wie in dieser Folge selbst einordnen will, findet dort den Raum Cyber Kill Chain. Er ist leicht und gratis: Ihr geht die sieben Phasen eines Angriffs durch und setzt am Ende die Kette eines echten Einbruchs selbst zusammen. Mit Premium bekommt ihr weitere Räume, komplette Lernpfade und schnellere Maschinen. Quellen zum Video: https://sshhole.com/ https://github.com/dspinellis/unix-history-repo/blob/BSD-3/etc/passwd https://musl.libc.org/ https://alpinelinux.org/ https://hub.docker.com/_/alpine https://git.musl-libc.org/cgit/musl/commit/?id=b3c4cc121f70faea45389fe7ddc1127ed5cbd8bb https://git.musl-libc.org/cgit/musl/commit/?id=88bf5a8a8d7d796f63cca8589f4de67aa8345f1a https://git.musl-libc.org/cgit/musl/plain/src/crypt/crypt_sha512.c https://www.openssh.com/txt/release-7.3 https://lists.mindrot.org/pipermail/openssh-commits/2016-July/005428.html https://anongit.mindrot.org/openssh.git/tree/auth-passwd.c?h=V_10_6_P1 https://marc.info/?l=openssh-unix-dev&m=179388064263131&w=2 https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-123158 https://www.cve.org/CVERecord?id=CVE-2026-123158 https://www.openssh.com/releasenotes.html https://youtu.be/8Hr0ymVjb2A https://anongit.mindrot.org/openssh.git/commit/?id=4353fdc43ef646c43a8dda7025cc1a898caf1482 https://dl-cdn.alpinelinux.org/alpine/v3.24/main/x86_64/APKINDEX.tar.gz https://downloads.openwrt.org/releases/packages-24.10/x86_64/packages/Packages.gz https://man.openbsd.org/sshd_config https://manpages.debian.org/unstable/openssh-server/sshd_config.5.en.html MorphReader im PlayStore: https://play.google.com/store/apps/details?id=de.themorpheus.morph_reader_app&hl=de MorphReader im App Store: https://apps.apple.com/de/app/morphreader/id6741467699?platform=iphone Newsletter und RSS-Feeds: https://www.patreon.com/collection/880029?view=expanded