PT-2026-137533
CVE-2026-123158
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenSSH الإصدارات السابقة لـ 10.6p2
Description
يوجد تجاوز للمصادقة في sshd على أنظمة Linux التي تستخدم musl libc بدون PAM. تنشأ المشكلة من تفسير خاطئ لما إذا كانت السلسلة النصية مخصصة لتكون هاش لكلمة المرور. وتحديداً، تعيد الدالة
crypt() في musl libc الرمز * لأي كلمة مرور تتجاوز 256 بايت. إذا كان الحساب المقفل يحتوي أيضاً على * في حقل shadow، فإن sshd يقارن بين هاتين القيمتين ويعتبرهما متطابقتين. وبناءً على ذلك، بالنسبة لبعض تكوينات الحسابات، تنجح عملية المصادقة باستخدام أي كلمة مرور يتراوح طولها بين 256 و 1024 حرفاً.Recommendations
التحديث إلى إصدار OpenSSH 10.6p2.
تعطيل المصادقة بكلمة المرور حتى يتم تطبيق التحديث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾