OpenSSH 10.6p2 處理 musl Linux 密碼漏洞
先了解這件事
2026年11月5日，兩則報道均稱 OpenSSH 發佈 10.6p2，涉及 musl Linux 上的 SSH 密碼驗證漏洞。報道指出，未使用 PAM 且仍啟用密碼登入的配置可能受影響；musl 的 crypt() 處理超過 256 bytes 的密碼時會回傳 `*`，令密碼欄位為 `*` 的帳戶可能接受 257 至 1024 字元的密碼。早先報道稱 10.6p2 提供臨時緩解方案，建議立即設定 PasswordAuthentication=no 或停用 SSH；後續報道稱該版本修復漏洞，無法更新時可停用密碼登入。報道並指出，非 Linux、Linux/glibc，以及使用 PAM 作密碼驗證的 Linux 系統不受影響。
AI 根據報道生成 · 8 小時前更新
報道時間線
沿着報道，瞭解事件的不同側面。
- Hacker News 熱門（buzzing.cc 中文翻譯）OpenSSH 修復 musl Linux 上的超長密碼驗證漏洞
OpenSSH 10.6p2 修復了 musl Linux 上的 SSH 密碼驗證漏洞，受影響時，密碼欄位為 `*` 的帳戶可能接受 257 至 1024 字元的密碼。文章指出，未使用 PAM 且仍啟用密碼登入的配置可能受影響；原因是 musl 的 crypt() 處理超過 256 bytes 的密碼時會回傳 `*`，令錯誤驗證通過。無法更新時，可停用密碼登入。
- Hacker News 熱門（buzzing.cc 中文翻譯）OpenSSH 10.6p2 發佈，為嚴重漏洞提供臨時緩解方案
OpenSSH 發佈 10.6p2，為一項嚴重漏洞提供臨時緩解方案。使用 musl libc 且未使用 PAM 作密碼驗證的 Linux 系統（例如 Alpine Linux），應立即設定 PasswordAuthentication=no 或停用 SSH。非 Linux 系統、Linux/glibc 系統，以及使用 PAM 作密碼驗證的 Linux 系統不受此漏洞影響。
本事件熱度走勢
當前熱度 8·可比範圍峯值 10（11月6日 01:00）·近 24 小時可比範圍變化 –
趨勢僅比較持續完整觀測到的相同主體，範圍可能小於當前熱度統計。移動指針或點擊圖表查看每小時熱度；鍵盤可用左右方向鍵切換。