Bulletin d'alerte du CERT-FR Json Objet : Vulnérabilité dans OpenSSH Gestion du document Référence CERTFR-2026-ALE-015 Titre Vulnérabilité dans OpenSSH Date de la première version05 novembre 2026 Date de la dernière version05 novembre 2026 Source(s) Bulletin de sécurité OpenSSH release-10.6p2 du 05 novembre 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risque Contournement de la politique de sécurité Systèmes affectés OpenSSH versions antérieures à 10.6p2 Résumé Le 5 novembre 2026, OpenSSH a publié un avis de sécurité concernant une vulnérabilité qui permet à un attaquant de contourner l’authentification d'un service SSH. En effet, sur les systèmes Linux qui utilisent la bibliothèque standard C musl, compilés sans support PAM ou avec PAM désactivé, un attaquant peut se connecter en fournissant deux mots de passe, dont le deuxième est d'une longueur strictement supérieure à 256 caractères et inférieure à 1024.
Lorsque les conditions sont réunies, cette vulnérabilité est triviale à exploiter. Il convient donc de vérifier si le système est dans une configuration vulnérable. Indicateurs de compromission Le chercheur, qui a découvert la vulnérabilité, recommande de vérifier la légitimité des connexions de chaque compte système avec une étoile (:*:) (mot de passe désactivé) dans /etc/shadow.
Par exemple, la commande suivante peut être lancée en root : awk -F : '$2 == "*" {print $1}' /etc/shadow | xargs -r -I{} grep "Accepted password for {}" /var/log/messages Mesure de contournement Il est préférable de désactiver l'authentification par mot de passe ou, à défaut, de désactiver le service, si l'application du correctif est impossible. Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Documentation Bulletin de sécurité OpenSSH release-10.6p2 du 05 novembre 2026 https://www.openssh.org/txt/release-10.6p2 Avis CERT-FR CERTFR-2026-AVI-1468 du 5 novembre 2026 /avis/CERTFR-2026-AVI-1468/ sshhole https://sshhole.com/ Gestion détaillée du document Date Description 05 novembre 2026 Version initiale