Разработчики OpenSSH 5 ноября выпустили срочное обновление 10.6p2: на некоторых Linux-системах ошибка позволяла войти по SSH в учётную запись, у которой пароль должен быть отключён. Затронута комбинация библиотеки musl и отсутствующего либо выключенного PAM — стандартного механизма проверки входа. Debian и Ubuntu с glibc под этот сценарий не подпадают.

В разборе исследователя показано, как защитная отметка превратилась в пропуск. Звёздочка вместо хеша пароля означает, что подходящего пароля нет. Но при обработке слишком длинного ввода musl возвращала такую же звёздочку как признак ошибки, а проверка могла принять совпадение за успешный вход.

Для обхода должны одновременно выполняться дополнительные условия: сервер разрешает вход по паролю, у целевого аккаунта стоит эта отметка, а в системе есть другой аккаунт с настоящим паролем. Поэтому находка не означает, что любой сервер с OpenSSH открыт посторонним. Среди затронутых конфигураций исследователь называет Alpine Linux; подтверждённое число взломанных машин не установлено.

Команда OpenSSH считает первопричину внешней по отношению к sshd, но закрыла путь обхода в самом сервере. Для систем, где обновление пока невозможно, разработчики рекомендуют отключить парольную аутентификацию. Исправление уже выпущено; его наличие не доказывает, что все уязвимые установки обновлены.