musl版sshdの「*」パスワードが256文字超で突破される脆弱性

Sshole

musl Linux上のOpenSSHで、パスワード無効化を示す「*」が付いたアカウントが257文字以上の任意のパスワードを受け入れる問題が2016年から存在。muslがcrypt()失敗時に「*」を返す仕様と、sshdが存在しないユーザー向けに他アカウントのsaltを流用する修正が重なって生じた。AlpineのAWS/Azure公式イメージではデフォルトのalpineユーザーが該当し、パスワードなしのdoasでroot権限に至る。OpenSSH 10.6p2で修正済み。