# Alpine曾曝SSH密码认证可绕过

- 地址：https://1ms.news/events/1502
- 首发：2026-11-05 22:44（北京时间），Hacker News 热门
- 最新：2026-11-06 16:05（北京时间）
- 报道：3 家来源，3 条
- 判断：利空
- 原文：https://t.me/theblockbeats/204575

## 摘要

Alpine称其openssh-server在未启用PAM时，攻击者对无密码账户提交超长口令即可免密码登录；影响Alpine 3.16至3.24及edge，OpenSSH 10.6p2已修复，建议升级并重启sshd，暂无法升级时关闭密码认证。

## 原文片段

> Alpine警示OpenSSH密码认证可被一键绕过
> 
> BlockBeats 消息，11 月 6 日，据 Alpine Linux 官方安全通告，其 openssh-server 包在未启用 PAM 的构建下存在密码认证绕过：攻击者只要能连上 SSH 端口，在特定条件下可一次连接、无需正确密码完成登录。条件包括开启 PasswordAuthentication、存在密码字段为 * 的账户，以及本机至少还有一个带 $5$ 或 $6$ 哈希的账户；攻击者对无密码账户提交超长口令即可匹配成功。受影响范围覆盖官方核查过的 Alpine 3.21–3.24 与 edge，以及已停更的 3.16–3.20；…

## 事件进展（最新在上）

- 2026-11-06 16:05 · 更新 · BlockBeats：Alpine曝3.16至3.24及edge受影响。（https://t.me/theblockbeats/204575）
- 2026-11-06 00:44 · 首发 · 在花科技圈：OpenSSH修复长密码绕过漏洞。OpenSSH 11月5日发布10.6p2版本，修复可用257至1024字节长密码绕过SSH认证的漏洞；在Alpine Linux上，攻击者可借此登录无密码的密钥账户，需具备网络访问权和账户名。（https://t.me/c/1125107539/44950）
- 2026-11-05 22:44 · 更新 · Hacker News 热门：Alpine曝OpenSSH认证绕过漏洞。Alpine官方警告，攻击者一次连接无需密码即可登录sshd，且每次都成功；触发条件为开启密码认证、存在密码字段为*的账户，再加任意一个$5$或$6$哈希账户；3.16至3.24及edge均受影响，升级后须重启sshd。（https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/）

---
来自 1ms.news（https://1ms.news）。内容整理自公开来源，以原文为准。