Основатель Binance Чанпэн Чжао (CZ) предупредил администраторов серверов о критической уязвимости аутентификации OpenSSH, затрагивающей определённые Linux-системы на базе musl libc. Исправления были выпущены 5 ноября 2026 года, однако проблема существовала около десяти лет.
В сообщении в X от 6 ноября CZ написал: «Ошибка безопасности OpenSSH в Alpine Linux существовала 10 лет. Примените исправления, если ещё не сделали этого». Он не утверждал, что системы Binance были скомпрометированы, но призвал операторов действовать незамедлительно.
Согласно официальному бюллетеню, уязвимость позволяет обойти аутентификацию на уязвимых серверах Alpine Linux. Атакующий может отправить пароль длиной от 257 до 1024 байт и получить доступ к учётной записи, не зная её реального пароля или закрытого ключа. Для эксплуатации требуется знать имя пользователя, у которого в поле пароля хранится звёздочка, и наличие другой локальной учётной записи с совместимым хешем SHA-256 или SHA-512. Атака срабатывает при отключённом PAM и включённой парольной аутентификации.
Исследователь Озгюн Кюльтекин из Wakefield назвал проблему «*sshole» и проследил её происхождение до изменений 2012–2016 годов. По его словам, функция хеширования паролей musl возвращает звёздочку, когда пароль превышает 256-байтный лимит, а OpenSSH может использовать соль другого аккаунта. В результате сервер может принять неверный пароль. Разработчики OpenSSH назвали первопричину находящейся за пределами sshd, а новый релиз — обходным решением.
Alpine Linux выпустила исправленные пакеты для актуальных и более старых веток, включая 3.21.10, 3.22.8, 3.23.8 и 3.24.4. Администраторам рекомендовано обновить пакеты и перезапустить SSH-сервис. Тем, кто не может обновиться сразу, советуют отключить парольную аутентификацию через параметр PasswordAuthentication no.
Отдельный риск связан с облачными образами tiny-cloud Alpine Linux версий 3.18.11–3.24.3: учётная запись alpine по умолчанию имеет доступ к doas, что при успешной атаке может дать root-права. Уязвимость также может затрагивать другие дистрибутивы с musl libc, включая отдельные конфигурации OpenWrt, Buildroot и Yocto, однако OpenWrt обычно использует Dropbear, который не подвержен проблеме. Публично подтверждённых случаев эксплуатации не зафиксировано, но администраторам рекомендовано проверить SSH-журналы на неожиданные парольные входы.
