CVE-2026-123158 — OpenSSH : contournement d’authentification par mot de passe sur musl libc
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-123158 — OpenSSH
OpenSSH avant 10.6p2 sur Linux avec musl libc et sans PAM contient une faille d'interprétation du hachage de mot de passe permettant le contournement d'authentification. Pour certaines configurations de comptes, tout mot de passe entre 256 et 1024 caractères réussit. Alpine Linux en particulier est affecté.
- Éditeur
- OpenBSD
- Produit
- OpenSSH
- Publication
- 05/11/2026
- Gravité CVSS
- Élevée
- Priorité
- Critique — exploitation connue
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
- Exploitation connue — CISA KEV
La faille
sshd interprète incorrectement si une chaîne correspond à un hachage de mot de passe lorsque musl libc est utilisé sans PAM. Ce défaut affecte le traitement du hachage en mémoire.
Pour certaines configurations de comptes, tout mot de passe entre 256 et 1024 caractères réussit l'authentification, contournant la vérification du hachage.
Ce qu'elle permet à un attaquant
- Un attaquant distant accède aux systèmes OpenSSH affectés en fournissant un mot de passe arbitraire de longueur comprise entre 256 et 1024 caractères, sans authentification valide.
Qui est concerné
OpenSSH antérieures à 10.6p2 sur Linux avec musl libc sans PAM sont affectées. Alpine Linux, qui utilise musl libc sans PAM, est un exemple de plateforme vulnérable.
| Produit | Versions |
|---|---|
| OpenBSD OpenSSH | 0 → < 10.6p2 |
État de l'exploitation
La faille a été inscrite au catalogue CISA KEV le 9 novembre 2026, indiquant une exploitation connue en environnement réel.
Chronologie
- Publication de la vulnérabilité
- Ajout au catalogue CISA KEV
- Échéance fixée par la CISA aux agences fédérales américaines
Que faire
- Mettre à jour OpenSSH vers la version 10.6p2 ou ultérieure selon les instructions du fournisseur.
- Appliquer les mesures d'atténuation conformément aux instructions du fournisseur et aux directives de priorisation CISA BOD 26-04 basées sur le risque.
- Pour les services cloud, suivre les directives BOD 26-04 applicables ou cesser l'utilisation du produit si les atténuations ne sont pas disponibles.
Termes utiles
- musl libc
- Implémentation alternative et légère de la bibliothèque C standard utilisée par défaut dans Alpine Linux, sans support PAM intégré.
- PAM
- Pluggable Authentication Modules : système modulaire pour l'authentification Unix fournissant une abstraction des mécanismes de vérification de mot de passe.
- KEV
- Known Exploited Vulnerabilities : catalogue CISA des vulnérabilités exploitées activement en environnement de production.