Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
sshd dans OpenSSH avant 10.6p2 sur Linux, quand Musl libc est utilisé sans PAM, manque d'une solution de rechange pour un contournement d'authentification de mot de passe (lié à une interprétation erronée de la question de savoir si une chaîne est censée être un hash de mot de passe). Pour certaines configurations de comptes, tout mot de passe entre 256 et 1024 caractères réussit. Un exemple de plateforme utilisant Musl libc sans PAM est Alpine Linux.
Texte officiel (anglais)
sshd in OpenSSH before 10.6p2 on Linux, when musl libc is used without PAM, lacks a workaround for a password authentication bypass (related to misinterpretation of whether a string is intended to be a password hash). For some configurations of accounts, any password between 256 and 1024 characters succeeds. An example of a platform using musl libc without PAM is Alpine Linux.
Versions touchées
Pas encore publiées par NVD. Consultez l’avis de l’éditeur.
Les acteurs de la menace tentent d'exploiter un défaut de sécurité récemment divulgué qui impacte OpenSSH qui peut permettre de s'identifier à des comptes qui n'ont pas de mot de passe, selon Previdian. La vulnérabilité, suivie comme CVE-2026-123158 (note CVSS: 8.1) et nommé SSHole (ou *sshole), affecte les systèmes Linux qui exécutent OpenSSH sur la bibliothèque Musl C avec les modules d'authentification Pluggable (PAM) désactivés,
La faille *sshole (CVE-2026-123158) ouvre en SSH, avec un mot de passe trop long, des comptes Linux sans mot de passe. Alpine Linux est le premier concerné. Le post *sshole : sur Alpine Linux, un mot de passe trop long peut mener à un accès root via SSH a été publié sur IT-Connect.
[Mise à jour du 6 novembre 2026] Cette vulnérabilité porte l'identifiant CVE-2026-123158. Alpine a publié un bulletin de sécurité (cf. section Documentation) concernant cette vulnérabilité. Le CERT-FR précise que toute installation de correctif ou modification de la configuration doit...
