{
  "generated_at": "2026-11-06T20:08:19Z",
  "thread": [
    {
      "id": "01a1affa-2df3-748b-9463-4a79f72098a5",
      "depth": 0,
      "author": "Loick P",
      "url": "https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5",
      "published_on": "2026-11-06",
      "in_reply_to_id": null,
      "author_username": "loick",
      "body_markdown": "Petite vulnérabilité préoccupante de cette fin de semaine, c'est **\\*sshole**.\n\nOpenSSH avant 10.6p2 est vulnérable depuis 2016 sur Linux musl sans PAM : Alpine, dont ses images AWS et Azure, et certains builds OpenWrt, Buildroot et Yocto. Glibc, PAM, Dropbear et OpenBSD sont épargnés. CVE-2026-123158 permet à un attaquant distant non authentifié d’ouvrir une session sur un compte au mot de passe « \\* » (clé seule, LDAP, root) avec une chaîne de 257 à 1 024 octets, si un autre compte local possède un vrai mot de passe. Sur ces images, le compte alpine obtient root via doas sans mot de passe. Criticité Haute, CVSS 8,1. Aucune exploitation n’est signalée. Identifiez les hôtes avec sshd -T (passwordauthentication yes, usepam no) et les comptes « \\* » dans /etc/shadow ; la bannière de version ne suffit pas. Toute ligne Accepted password visant ces comptes signale une compromission. Installez 10.6p2 ou le paquet Alpine corrigé et redémarrez sshd, ou appliquez PasswordAuthentication no.\n\nPour savoir si vous êtes affectés :\n\n```\nsshd -T | grep -iE \"passwordauthentication|usepam\" (musl, passwordauthentication yes, pas de ligne usepam yes)\nawk -F: '$2==\"*\"{print $1} $2~/^\\$[56]\\$/{print $1}' /etc/shadow\napk list --installed openssh-server\n```\n\nPour corriger :\n\n```\napk update && apk upgrade openssh-server\nrc-service sshd restart\n```\n\nLes versions patchées sont : `openssh edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1, 3.20 9.7_p1-r6, 3.19 9.6_p1-r3, 3.18 9.3_p2-r4, 3.17 9.1_p1-r7, 3.16 9.0_p1-r6`\n\nContremesure efficace :\n\nInterdire l'authentification par mot de passe dans la configuration du daemon sshd `sshd_config`\n\n```\nPasswordAuthentication no\n```\n\nhttps://app.illicium.io/fr/voc/lookup?q=CVE-2026-123158\n\nhttps://sshhole.com/",
      "in_reply_to_author": null
    }
  ],
  "verified_author_links": [],
  "published_on": "2026-11-06",
  "type": "post",
  "tags": [
    "openssh",
    "Vulnerability Management",
    "vulnerabilité"
  ],
  "title": "Loick P · 2026-11-06",
  "url": "https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5",
  "thread_truncated": false,
  "video": null,
  "author": {
    "name": "Loick P",
    "username": "loick",
    "url": "https://vutuv.de/loick"
  },
  "description": "Petite vulnérabilité préoccupante de cette fin de semaine, c'est **\\*sshole**.",
  "fediverse_repost_count": 0,
  "like_count": 0,
  "fediverse_reactions": [],
  "body_markdown": "Petite vulnérabilité préoccupante de cette fin de semaine, c'est **\\*sshole**.\n\nOpenSSH avant 10.6p2 est vulnérable depuis 2016 sur Linux musl sans PAM : Alpine, dont ses images AWS et Azure, et certains builds OpenWrt, Buildroot et Yocto. Glibc, PAM, Dropbear et OpenBSD sont épargnés. CVE-2026-123158 permet à un attaquant distant non authentifié d’ouvrir une session sur un compte au mot de passe « \\* » (clé seule, LDAP, root) avec une chaîne de 257 à 1 024 octets, si un autre compte local possède un vrai mot de passe. Sur ces images, le compte alpine obtient root via doas sans mot de passe. Criticité Haute, CVSS 8,1. Aucune exploitation n’est signalée. Identifiez les hôtes avec sshd -T (passwordauthentication yes, usepam no) et les comptes « \\* » dans /etc/shadow ; la bannière de version ne suffit pas. Toute ligne Accepted password visant ces comptes signale une compromission. Installez 10.6p2 ou le paquet Alpine corrigé et redémarrez sshd, ou appliquez PasswordAuthentication no.\n\nPour savoir si vous êtes affectés :\n\n```\nsshd -T | grep -iE \"passwordauthentication|usepam\" (musl, passwordauthentication yes, pas de ligne usepam yes)\nawk -F: '$2==\"*\"{print $1} $2~/^\\$[56]\\$/{print $1}' /etc/shadow\napk list --installed openssh-server\n```\n\nPour corriger :\n\n```\napk update && apk upgrade openssh-server\nrc-service sshd restart\n```\n\nLes versions patchées sont : `openssh edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1, 3.20 9.7_p1-r6, 3.19 9.6_p1-r3, 3.18 9.3_p2-r4, 3.17 9.1_p1-r7, 3.16 9.0_p1-r6`\n\nContremesure efficace :\n\nInterdire l'authentification par mot de passe dans la configuration du daemon sshd `sshd_config`\n\n```\nPasswordAuthentication no\n```\n\nhttps://app.illicium.io/fr/voc/lookup?q=CVE-2026-123158\n\nhttps://sshhole.com/",
  "schema_version": 3,
  "likers": [],
  "fediverse_like_count": 0,
  "in_reply_to": null,
  "files": [],
  "fediverse_replies": [],
  "review": null,
  "images": [
    {
      "width": 3598,
      "alt": "",
      "height": 2642,
      "urls": {
        "thumb": "https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/thumb.avif",
        "large": "https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/large.avif",
        "lite": "https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/lite.avif",
        "feed": "https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/feed.avif",
        "xl": "https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/xl.avif"
      },
      "caption": null,
      "download_url": null
    }
  ],
  "formats": {
    "json": "https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5.json",
    "text": "https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5.txt",
    "markdown": "https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5.md",
    "xml": "https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5.xml"
  },
  "license": {
    "id": "arr",
    "name": "© All rights reserved",
    "url": null,
    "spdx": null
  },
  "id": "01a1affa-2df3-748b-9463-4a79f72098a5",
  "bookmark_count": 0,
  "fediverse_reaction_count": 0,
  "reply_count": 0,
  "repost_count": 0,
  "replies": [],
  "fediverse_reply_count": 0
}