# CVE-2026-123158 — OpenSSH : contournement d’authentification par mot de passe sur musl libc

- Link: https://dpioch.aristeecampus.org/veille/veille-v2-d39ac9e30b0148cfd3277839/
- Published: 2026-11-11T20:21:06+01:00
- Author: Admin

Threat Intel · Alerte de sécurité

## L'alerte

CVE-2026-123158 — OpenSSH

OpenSSH avant 10.6p2 sur Linux avec musl libc et sans PAM contient une faille d'interprétation
du hachage de mot de passe permettant le contournement d'authentification. Pour 
certaines configurations de comptes, tout mot de passe entre 256 et 1024 caractères
réussit. Alpine Linux en particulier est affecté.

 Éditeur OpenBSD

 Produit OpenSSH

 Publication 05/11/2026

 Gravité CVSS Élevée

 Priorité Critique — exploitation connue

8,1/ 10 — CVSS 3.1 · Élevée

`CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H`

 * Exploitation connue — CISA KEV

## La faille

sshd interprète incorrectement si une chaîne correspond à un hachage de mot de passe
lorsque musl libc est utilisé sans PAM. Ce défaut affecte le traitement du hachage
en mémoire.

Pour certaines configurations de comptes, tout mot de passe entre 256 et 1024 caractères
réussit l'authentification, contournant la vérification du hachage.

## Ce qu'elle permet à un attaquant

 * Un attaquant distant accède aux systèmes OpenSSH affectés en fournissant un mot
   de passe arbitraire de longueur comprise entre 256 et 1024 caractères, sans authentification
   valide.

**8,1**score CVSS 3.1

**1**produit concerné

**4 j**entre la publication et l’inscription au KEV

**12/11/2026**échéance CISA (agences fédérales américaines)

## Qui est concerné

OpenSSH antérieures à 10.6p2 sur Linux avec musl libc sans PAM sont affectées. Alpine
Linux, qui utilise musl libc sans PAM, est un exemple de plateforme vulnérable.

  |  Produit |  Versions |  
   |  OpenBSD OpenSSH |  0 → < 10.6p2 |

## État de l'exploitation

La faille a été inscrite au catalogue CISA KEV le 9 novembre 2026, indiquant une
exploitation connue en environnement réel.

## Chronologie

 1. 05/11/2026Publication de la vulnérabilité
 2. 09/11/2026Ajout au catalogue CISA KEV
 3. 12/11/2026Échéance fixée par la CISA aux agences fédérales américaines

## Que faire

 1. Mettre à jour OpenSSH vers la version 10.6p2 ou ultérieure selon les instructions
    du fournisseur.
 2. Appliquer les mesures d'atténuation conformément aux instructions du fournisseur
    et aux directives de priorisation CISA BOD 26-04 basées sur le risque.
 3. Pour les services cloud, suivre les directives BOD 26-04 applicables ou cesser 
    l'utilisation du produit si les atténuations ne sont pas disponibles.

Termes utiles

  musl libc Implémentation alternative et légère de la bibliothèque C standard utilisée
par défaut dans Alpine Linux, sans support PAM intégré. PAM Pluggable Authentication
Modules : système modulaire pour l'authentification Unix fournissant une abstraction
des mécanismes de vérification de mot de passe. KEV Known Exploited Vulnerabilities:
catalogue CISA des vulnérabilités exploitées activement en environnement de production.

## Sources

![Sceau de la CISA](https://dpioch.aristeecampus.org/wp-content/uploads/2026/10/
cisa-5a454c90bac7.png)

Présence et version locales non établies : vérifier l'inventaire avant de conclure
à une exposition.

 * [Catalogue CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-123158)
 * [Enregistrement CVE officiel (CNA mitre)](https://www.cve.org/CVERecord?id=CVE-2026-123158)