OpenSSH緊急修正　パスワード無効のアカウントに入られる欠陥　Alpineは自社も対象か

　OpenSSHの開発チームは11月5日、SSHサーバ「sshd」を含むOpenSSHの緊急版「10.6p2」を公開した。musl libcを採用するLinuxで、PAM（認証モジュール）を無効にしてビルドしたsshdに、パスワード認証を迂回される欠陥が見つかったためだ。

　OpenSSH 10.6p2のリリースノートによると、この欠陥の根本原因はsshdの外にあるものの、sshdを経由して悪用できる状態だった。そこで、sshd側で回避できるようにしたという。発見者はセキュリティ企業Wakefieldの研究者Ozgun Kultekin氏としている。

　CSO Onlineによると、この欠陥は「*sshole」と呼ばれ、CVE-2026-123158が割り当てられている。パスワード認証を無効にしたアカウントでも、257～1,024文字ほどの長いパスワードを送ると、SSHでログインできてしまう。

　影響を受けるのは、glibcではなくmuslを使うLinuxだ。代表例はAlpine Linuxで、バージョン3.18.11～3.24.3の公式クラウドイメージが該当する。一部の組み込みLinuxも対象になり得る。一方、Debian、Ubuntu、Fedoraは影響を受けないという。

　悪用には、muslを使うLinuxでOpenSSHをPAMなしでビルドしていること、パスワード認証を許可していること、攻撃者がパスワードを無効にしたアカウントの名前を知っていること、システム上に実際のパスワードを持つ正規アカウントがあることなどの条件が重なる必要がある。Alpineの標準ビルドは、この条件を満たすとされる。

　Alpineも、緊急のopensshパッケージ更新を公開した。更新できない場合の回避策は、OpenSSHの設定でパスワード認証を無効にし、鍵認証へ切り替えることだ。現時点で、実際の攻撃は確認されていないという。