В Alpine Linux нашли баг в OpenSSH: вход по SSH без пароля за одно подключение

Alpine Linux Security advisory: OpenSSH-server password authentication bypass

В openssh-server на Alpine Linux обнаружена уязвимость: атакующий, дотянувшийся до SSH-порта, входит без пароля с первой попытки. Достаточно аккаунта с полем пароля `*` (обычное дело для key-only пользователей) и хотя бы одного аккаунта с хешем `$5$` или `$6$`. Причина — в том, как musl `crypt()` обрабатывает слишком длинный пароль. Уязвимы все проверенные релизы с 3.21 по 3.24 и edge, а также 3.16–3.20. Исправленные пакеты уже вышли, но после обновления нужно перезапустить `sshd`.