Sshole lỗ hổng xuất hiện, số lượng thử nghiệm truy nhập tăng

OpenBSD OpenSSH — Rủi ro về Mã Trả về Không Dự kiến hoặc Trạng Thái Không Dự kiến của OpenBSD OpenSSH. Đưa vào KEV ngày 2026-11-09, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-12. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và hướng dẫn về yêu cầu điều tra triage forensics của CISA (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn về cập nhật vá của BOD 26-04.

sshd trong OpenSSH trước 10.6p2 trên Linux, khi sử dụng musl libc mà không có PAM, thiếu một giải pháp xung quanh việc bỏ qua việc xác thực mật khẩu (liên quan đến việc misinterpretation của chuỗi có phải là mật khẩu hash hay không). Trong một số cấu hình tài khoản, bất kỳ mật khẩu nào từ 256 đến 1024 ký tự đều thành công. Ví dụ về nền tảng sử dụng musl libc mà không có PAM là Alpine Linux.