OpenSSH corrige la faille de contournement d’authentification « SSHole » sur les systèmes Linux utilisant musl libc

OpenSSH a déployé des correctifs d’urgence pour un contournement d’authentification de gravité élevée, surnommé SSHole et référencé CVE-2026-123158, avec un score CVSS de 8,1. Le défaut affecte le serveur OpenSSH (sshd) sur les distributions Linux qui utilisent l’implémentation musl libc avec le Pluggable Authentication Module (PAM) désactivé. Selon SecurityWeek, une mauvaise interprétation visant à déterminer si une chaîne est censée être un hachage de mot de passe permet à des attaquants d’accéder à certains comptes avec n’importe quel mot de passe comportant entre 257 et 1 024 caractères. Les correctifs sont inclus dans OpenSSH 10.6p2.

Damien Miller, développeur d’OpenSSH, a déclaré que la faille ne se trouve pas dans sshd lui-même, mais qu’elle peut être exploitée via sshd. Il a indiqué que la publication a été faite aussi vite que possible, car le projet avait eu connaissance du problème la veille et avait récemment observé plusieurs cas de redécouverte rapide de bogues par des agents d’IA, parfois en quelques heures. Alpine Linux a exhorté les utilisateurs à appliquer les correctifs et à redémarrer sshd, ou à désactiver les connexions par mot de passe et à redémarrer sshd. Alpine a précisé que toutes les versions qu’elle a vérifiées, de la 3.21 à la 3.24 ainsi que edge, sont concernées, tout comme les anciennes versions 3.16 à 3.20, qui ne reçoivent plus de mises à jour régulières.

Fredrik Almroth, cofondateur et chercheur principal en sécurité chez Detectify, a déclaré que l’attaque est simple et qu’il s’attend à ce que des analyses commencent d’ici quelques heures, tout en notant qu’aucun signalement d’exploitation n’avait encore été constaté. Jake Knott, responsable du renseignement sur les menaces chez WatchTowr, a recommandé aux organisations de mettre à jour lorsque c’est possible et de désactiver l’authentification par mot de passe à titre de mesure d’atténuation temporaire si elles ne peuvent pas le faire.

Pourquoi c’est important Tout hôte Linux exécutant sshd sans PAM sur musl libc, y compris les systèmes Alpine, OpenWrt, Buildroot et Yocto, devrait être vérifié pour repérer les comptes dont le champ de mot de passe est * et les comptes locaux dont le hachage commence par $5$ ou $6$. Comme l’attaque ne nécessite qu’une seule connexion et que des détails publics existent, les administrateurs devraient appliquer OpenSSH 10.6p2 ou le correctif de leur distribution, ou désactiver les connexions par mot de passe à titre de mesure temporaire. Selon notre analyse, les services SSH exposés sont le premier endroit à examiner, car les analyses devraient commencer rapidement.