La faille OpenSSH surnommée *sshole permet de pénétrer dans des serveurs Alpine Linux — et d'autres systèmes basés sur la bibliothèque C musl — avec un simple mot de passe long, de 257 à 1 024 caractères. Le chercheur Özgün Kültekin, de l'entreprise de sécurité Wakefield, a révélé la vulnérabilité le 5 novembre 2026, et le correctif est déjà disponible dans OpenSSH 10.6p2, publié le même jour. CSO Online identifie la faille comme CVE-2026-123158.
L'attaque n'exige ni de deviner des identifiants ni de force brute : une seule tentative de connexion avec un long mot de passe sur un compte qui ne devrait jamais accepter de mot de passe — comme l'utilisateur root ou les comptes réservés aux clés SSH — suffit.
Comment fonctionne la faille OpenSSH
Le problème naît de la combinaison de trois vieilles décisions. En 2012, les développeurs de musl ont limité les mots de passe à 256 octets pour éviter les attaques par déni de service avec des hachages SHA-512 lents — et ont fait en sorte que la fonction crypt() renvoie un astérisque (*) quand elle ne peut pas calculer le hachage. En 2016, OpenSSH a commencé à « emprunter » le sel d'un autre compte pour simuler la vérification du mot de passe d'utilisateurs inexistants, afin de se défendre contre l'énumération des noms d'utilisateur (CVE-2016-6210). Et les comptes sans mot de passe portent justement un astérisque dans le champ du mot de passe du fichier /etc/shadow.
Quand un attaquant envoie un mot de passe de plus de 256 caractères à l'un de ces comptes, musl échoue à calculer le hachage et renvoie * — qui correspond à l'astérisque stocké. Le serveur en conclut que le mot de passe est correct et accorde l'accès.
Qui est exposé
Un attaquant ne peut exploiter la faille OpenSSH que lorsque toutes ces conditions sont réunies : le système utilise musl (cas d'Alpine Linux, très utilisé dans les conteneurs Docker et le cloud) ; OpenSSH tourne sans le module PAM ; l'authentification par mot de passe est activée ; il existe un compte avec un astérisque dans le champ du mot de passe ; et il existe un autre compte avec un hachage de mot de passe valide ($5$ ou $6$), dont le sel est emprunté.
Le cas le plus grave concerne les images cloud officielles d'Alpine Linux, versions 3.18.11 à 3.24.3 : l'utilisateur par défaut alpine y dispose de la permission doas sans mot de passe — l'équivalent léger de sudo. Quiconque se connecte en tant qu'alpine peut devenir root avec une seule commande. La connexion directe en root reste limitée par le réglage par défaut PermitRootLogin prohibit-password, mais ce chemin contourne la protection.
Les distributions populaires comme Debian, Ubuntu et Fedora ne sont pas touchées, car elles utilisent glibc au lieu de musl. Rien n'indique que des systèmes vulnérables aient déjà été exploités, selon The Register.
Le correctif et que faire
OpenSSH 10.6p2, publié le 5 novembre, corrige la faille OpenSSH, et Alpine a publié des paquets corrigés pour toutes les versions depuis la 3.16. Quiconque administre des serveurs Alpine doit mettre à jour au plus vite. Ceux qui ne peuvent pas mettre à jour doivent désactiver l'authentification par mot de passe dans OpenSSH et redémarrer le démon, pour n'utiliser que des clés SSH. Le chercheur a aussi publié une commande simple pour vérifier si un compte sans mot de passe a récemment reçu une connexion par mot de passe.
Crédit image : logo d'Alpine Linux, via Wikimedia Commons.
Sources
- The Register — Get root on a musl Linux system by slamming it with an overly long password
- CSO Online — OpenSSH flaw lets attackers access password-disabled accounts on some Linux systems
- sshhole.com — analyse technique d'Özgün Kültekin (Wakefield)
Transparence : cet article a été produit avec l'aide de l'intelligence artificielle, en croisant des publications publiques et des sources en ligne. Consultez les sources originales pour confirmer les informations.
Muse
