Veille sécuritéSystèmes & serveurs
P3Élevée
Le 5 novembre 2026, Alpine a publié un avis concernant un contournement de l’authentification par mot de passe dans sshd sur musl sans PAM : dans certaines configurations de comptes, une connexion peut réussir avec un mot de passe de 256 à 1024 caractères. Le risque concerne notamment les serveurs Alpine exposés remplissant les conditions de l’avis ; mettre à jour le paquet openssh vers la version corrigée de la branche et redémarrer sshd.
Alpine Linux
IdentifiantCVE-2026-123158
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifAlpine openssh : edge 10.6_p2-r0 ; 3.24 10.3_p1-r2 ; 3.23 10.2_p1-r1 ; 3.22 10.0_p1-r11 ; 3.21 9.9_p2-r1 ; 3.20 9.7_p1-r6 ; 3.19 9.6_p1-r3 ; 3.18 9.3_p2-r4 ; 3.17 9.1_p1-r7 ; 3.16 9.0_p1-r6.
Source : NVD — CVE-2026-123158
Analyse technique
Le défaut survient lorsque sshd interprète le résultat d’erreur de crypt() fourni par musl comme correspondant au champ de mot de passe du compte. La vulnérabilité nécessite les conditions de configuration décrites par Alpine ; l’avis amont indique la correction dans OpenSSH 10.6p2.
Impact, versions et correctif
Événement datéL’avis de sécurité Alpine et les versions corrigées ont été publiés le 2026-11-05, dans la période demandée. La fiche NVD fournie date également du 2026-11-05 ; sa mise à jour du 2026-11-06T05:18:26.710Z est postérieure à la borne de fin et n’est pas retenue comme événement de cette période.
ImpactUn attaquant distant peut, sous certaines conditions de configuration, contourner l’authentification SSH par mot de passe ; l’accès obtenu peut compromettre la confidentialité, l’intégrité et la disponibilité du système.
Versions affectéesOpenSSH avant 10.6p2 sur Linux avec musl libc sans PAM ; les versions corrigées d’Alpine sont indiquées par branche dans fixed_version.
Version corrigéeAlpine openssh : edge 10.6_p2-r0 ; 3.24 10.3_p1-r2 ; 3.23 10.2_p1-r1 ; 3.22 10.0_p1-r11 ; 3.21 9.9_p2-r1 ; 3.20 9.7_p1-r6 ; 3.19 9.6_p1-r3 ; 3.18 9.3_p2-r4 ; 3.17 9.1_p1-r7 ; 3.16 9.0_p1-r6.
ContournementDésactiver l’authentification SSH par mot de passe ou activer PAM avec UsePAM yes, selon la configuration. Ce contournement ne remplace pas la mise à jour.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Publication2026-11-05
Détection / vérification
Vérifier si openssh-server (ou openssh-server-pam avec UsePAM no) est installé, si PasswordAuthentication est activé et si la configuration des comptes répond aux conditions de l’avis. Après mise à jour, redémarrer sshd.
Action recommandée
Mettre à jour openssh vers la version corrigée correspondant à la branche Alpine, puis redémarrer sshd. Vérifier particulièrement les serveurs exposés utilisant musl sans PAM et l’authentification par mot de passe.
Sources
Priorisation DFS : P3 · 1 source(s).