Musl-OpenSSH akzeptiert jedes Passwort über 256 Zeichen

Sshole

Seit 2016 haben OpenSSH-Installationen auf musl-basierten Systemen wie Alpine, OpenWrt oder Buildroot ein gravierendes Problem: Konten, die eigentlich kein Passwort akzeptieren sollten – etwa root, schlüsselbasierte Deploy-User oder der Standard-User auf Alpines AWS- und Azure-Images – nehmen jedes Passwort mit mehr als 256 Zeichen an. Ursache ist eine Kette von Fehlern: musl gibt bei crypt()-Fehlern statt NULL einen Stern zurück, und OpenSSH vergleicht diesen mit dem gespeicherten „*“-Feld. OpenSSH 10.6p2 behebt die Lücke.