0
0
0
0
0
01a1affa-2df3-748b-9463-4a79f72098a5
arr
© All rights reserved
https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5.json
https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5.txt
https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5.md
https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5.xml
-
3598
2642
https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/thumb.avif
https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/large.avif
https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/lite.avif
https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/feed.avif
https://vutuv.de/post_images/qAkvAyIjoYipJ2SzypXnZg/xl.avif
0
3
Petite vulnérabilité préoccupante de cette fin de semaine, c'est **\*sshole**.
OpenSSH avant 10.6p2 est vulnérable depuis 2016 sur Linux musl sans PAM : Alpine, dont ses images AWS et Azure, et certains builds OpenWrt, Buildroot et Yocto. Glibc, PAM, Dropbear et OpenBSD sont épargnés. CVE-2026-123158 permet à un attaquant distant non authentifié d’ouvrir une session sur un compte au mot de passe « \* » (clé seule, LDAP, root) avec une chaîne de 257 à 1 024 octets, si un autre compte local possède un vrai mot de passe. Sur ces images, le compte alpine obtient root via doas sans mot de passe. Criticité Haute, CVSS 8,1. Aucune exploitation n’est signalée. Identifiez les hôtes avec sshd -T (passwordauthentication yes, usepam no) et les comptes « \* » dans /etc/shadow ; la bannière de version ne suffit pas. Toute ligne Accepted password visant ces comptes signale une compromission. Installez 10.6p2 ou le paquet Alpine corrigé et redémarrez sshd, ou appliquez PasswordAuthentication no.
Pour savoir si vous êtes affectés :
```
sshd -T | grep -iE "passwordauthentication|usepam" (musl, passwordauthentication yes, pas de ligne usepam yes)
awk -F: '$2=="*"{print $1} $2~/^\$[56]\$/{print $1}' /etc/shadow
apk list --installed openssh-server
```
Pour corriger :
```
apk update && apk upgrade openssh-server
rc-service sshd restart
```
Les versions patchées sont : `openssh edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1, 3.20 9.7_p1-r6, 3.19 9.6_p1-r3, 3.18 9.3_p2-r4, 3.17 9.1_p1-r7, 3.16 9.0_p1-r6`
Contremesure efficace :
Interdire l'authentification par mot de passe dans la configuration du daemon sshd `sshd_config`
```
PasswordAuthentication no
```
https://app.illicium.io/fr/voc/lookup?q=CVE-2026-123158
https://sshhole.com/
0
0
Petite vulnérabilité préoccupante de cette fin de semaine, c'est **\*sshole**.
Loick P
loick
https://vutuv.de/loick
false
https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5
Loick P · 2026-11-06
- openssh
- Vulnerability Management
- vulnerabilité
post
2026-11-06
-
01a1affa-2df3-748b-9463-4a79f72098a5
0
Loick P
https://vutuv.de/loick/posts/01a1affa-2df3-748b-9463-4a79f72098a5
2026-11-06
loick
Petite vulnérabilité préoccupante de cette fin de semaine, c'est **\*sshole**.
OpenSSH avant 10.6p2 est vulnérable depuis 2016 sur Linux musl sans PAM : Alpine, dont ses images AWS et Azure, et certains builds OpenWrt, Buildroot et Yocto. Glibc, PAM, Dropbear et OpenBSD sont épargnés. CVE-2026-123158 permet à un attaquant distant non authentifié d’ouvrir une session sur un compte au mot de passe « \* » (clé seule, LDAP, root) avec une chaîne de 257 à 1 024 octets, si un autre compte local possède un vrai mot de passe. Sur ces images, le compte alpine obtient root via doas sans mot de passe. Criticité Haute, CVSS 8,1. Aucune exploitation n’est signalée. Identifiez les hôtes avec sshd -T (passwordauthentication yes, usepam no) et les comptes « \* » dans /etc/shadow ; la bannière de version ne suffit pas. Toute ligne Accepted password visant ces comptes signale une compromission. Installez 10.6p2 ou le paquet Alpine corrigé et redémarrez sshd, ou appliquez PasswordAuthentication no.
Pour savoir si vous êtes affectés :
```
sshd -T | grep -iE "passwordauthentication|usepam" (musl, passwordauthentication yes, pas de ligne usepam yes)
awk -F: '$2=="*"{print $1} $2~/^\$[56]\$/{print $1}' /etc/shadow
apk list --installed openssh-server
```
Pour corriger :
```
apk update && apk upgrade openssh-server
rc-service sshd restart
```
Les versions patchées sont : `openssh edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1, 3.20 9.7_p1-r6, 3.19 9.6_p1-r3, 3.18 9.3_p2-r4, 3.17 9.1_p1-r7, 3.16 9.0_p1-r6`
Contremesure efficace :
Interdire l'authentification par mot de passe dans la configuration du daemon sshd `sshd_config`
```
PasswordAuthentication no
```
https://app.illicium.io/fr/voc/lookup?q=CVE-2026-123158
https://sshhole.com/
2026-11-06T20:08:19Z