OpenSSH 10.6p2 bloque un contournement d’authentification sur Linux avec musl

Ce qui est nouveau

OpenSSH 10.6p2, publié le 5 novembre 2026, empêche un contournement de l’authentification par mot de passe sur certains systèmes Linux utilisant la bibliothèque standard C musl. Le problème concerne le serveur SSH, utilisé pour les connexions à distance, lorsque les modules d’authentification enfichables (PAM) sont absents ou désactivés.

Alpine Linux confirme que son paquet openssh-server est concerné dans certaines configurations. La distribution a publié des paquets corrigés jusque dans la branche 3.16, pourtant sortie du support régulier. Elle précise que la mise à jour du paquet ne remplace pas le serveur déjà en cours d’exécution : sa consigne officielle comprend donc un redémarrage du service.

Ce qui change et pourquoi

La faille permet d’accéder à un compte dont le champ de mot de passe contient une étoile, une valeur normalement destinée à empêcher les connexions par mot de passe tout en permettant celles par clé. L’exploitation suppose notamment que l’authentification par mot de passe reste activée et qu’un autre compte possède une empreinte de mot de passe compatible.

Selon l’analyse du chercheur Özgün Kültekin, un mot de passe trop long provoque un échec de la fonction de calcul d’empreinte de musl. Celle-ci renvoie alors une étoile : la comparaison avec l’étoile enregistrée pour le compte peut être interprétée comme une authentification réussie.

L’équipe OpenSSH estime que la cause initiale se situe hors de son serveur, mais indique pouvoir y bloquer l’exploitation. Elle présente donc cette version comme une mesure de contournement de sécurité.

Pourquoi c’est important

Le CERT-FR qualifie l’exploitation de triviale lorsque les conditions sont réunies. Alpine décrit notamment un risque d’accès administrateur sur certaines images cloud : une connexion au compte alpine peut permettre une élévation de privilèges si celui-ci dispose des autorisations correspondantes.

Le périmètre reste précis : les systèmes utilisant glibc ou PAM pour l’authentification par mot de passe ne sont pas touchés. Les conteneurs Alpine sans serveur SSH et les systèmes où l’authentification SSH par mot de passe est désactivée ne sont pas concernés non plus.