58点BUZZ
✍️ ブログで話題
OpenSSHに「長いパスワードでログインできてしまう」穴、条件がそろうのはAlpine Linuxなど一部の構成 セキュリティブログの整理記事に注目
11月5日に公表されたOpenSSHの脆弱性（CVE-2026-123158）について、セキュリティブログ「piyolog」が対象・仕組み・対策を整理した記事を公開し、技術者の間で読まれています。musl libcを使いPAMなしで動くLinux上のsshdで、257〜1024バイトの長いパスワードを送ると、パスワード欄が「*」のアカウントに入れてしまう問題です。
① 事実・背景
muslのcrypt()が失敗時に返す文字列「*」と、鍵専用アカウントの保存値「*」がたまたま一致することで認証が通ってしまう仕組みです。OpenSSHは修正版10.6p2を公開し、AIによる脆弱性の「再発見」が速いことを理由に即時公表したと説明しています。
② 影響・今後
Alpine Linuxの一部クラウドイメージなど、条件がそろうサーバーでは管理者権限の奪取につながるおそれがあります。修正版への更新とsshdの再起動、またはパスワード認証の無効化が対策で、公開状態だった場合はログの確認が推奨されています。
別の見方
・Debian・UbuntuなどglibcのLinuxやPAMを使う構成は対象外で、成立には複数の条件が重なる必要があるため、「全サーバーが危険」と受け取るのは過大評価です。・それでも、Dockerなどで広く使われるAlpineは手軽さゆえに設定を見直さないまま運用されがちで、思わぬところに条件がそろったサーバーが残っている可能性に注意が必要です。・OpenSSHとmusl側で「どちらの不具合か」の見解が分かれている点は、部品の組み合わせで生まれる穴の難しさを示しており、AIで脆弱性探しが加速する時代の公開の在り方を考える材料にもなります。
