OpenSSH en musl acepta cualquier contraseña de más de 256 caracteres en cuentas bloqueadas

Sshole

Desde 2016, sshd sobre musl (Alpine, OpenWrt, Buildroot, Yocto y muchas imágenes Docker) deja entrar con cualquier contraseña de 257 a 1024 caracteres en cuentas cuyo hash es solo un asterisco: root, usuarios de solo clave o de LDAP. El fallo nace de que musl devuelve "*" cuando crypt() falla, y de que OpenSSH compara ese resultado con el campo almacenado sin comprobar el error. En las imágenes oficiales de Alpine para AWS y Azure, la cuenta alpine tiene doas sin contraseña, así que es root.