Vulnérabilité critique dans OpenSSH
.png)
Produits concernés
• OpenSSH versions antérieures à 10.6p2, sur les systèmes Linux basés sur la bibliothèque musl où sshd vérifie les mots de passe sans PAM
Prérequis
• Accès réseau au service SSH
• Authentification par mot de passe activée (PasswordAuthentication, activée par défaut)
• Compte dont le champ de mot de passe vaut "*" dans /etc/shadow (compte verrouillé, compte utilisé uniquement avec une clé SSH, compte LDAP)
• Existence d'un autre compte local disposant d'un mot de passe
Risques
• Exécution de code arbitraire
• Déploiement de malware sur l'actif
• Exfiltration de données sensibles
• Accès au réseau interne de l'entreprise
Résumé
Une vulnérabilité critique de type "Contournement d'authentification" affectant la solution OpenSSH a récemment été publiée par l'éditeur OpenSSH le 5 novembre 2026.
Aucun numéro de CVE ni score CVSS n'a encore été attribué à cette vulnérabilité.
La solution OpenSSH permet d'administrer des serveurs à distance de manière sécurisée via le protocole SSH.
CVE-2026-123158 : Une vulnérabilité dans le mécanisme de vérification des mots de passe de la solution OpenSSH, sur les systèmes basés sur musl, pourrait permettre à un attaquant distant non authentifié de se connecter à un compte verrouillé en saisissant n'importe quel mot de passe de 257 à 1024 caractères. L'exploitation de cette vulnérabilité pourrait permettre à l'attaquant d'obtenir un shell sur le système avec les droits du compte visé. Sur les images officielles Alpine Linux pour AWS et Azure, le compte par défaut "alpine" est concerné et dispose de droits root via doas sans mot de passe.
Cette vulnérabilité ne concerne qu'un nombre limité de systèmes. La grande majorité des distributions Linux ne sont pas affectées.
Systèmes concernés :
• Alpine Linux avec le paquet openssh-server, compilé sans PAM par défaut, y compris les images officielles AWS et Azure
• Conteneurs basés sur Alpine Linux qui exécutent un serveur sshd
• Systèmes embarqués basés sur musl (Buildroot, Yocto, OpenWrt) lorsqu'ils utilisent OpenSSH comme serveur SSH
• Tout système musl sur lequel OpenSSH est compilé avec PAM mais configuré avec "UsePAM no"
Systèmes non concernés :
• Distributions basées sur glibc : Debian, Ubuntu, Red Hat Enterprise Linux, Rocky Linux, AlmaLinux, Fedora, SUSE, Amazon Linux et la plupart des distributions courantes
• Systèmes sur lesquels les mots de passe SSH sont vérifiés par PAM
• Systèmes non Linux (OpenBSD, FreeBSD, macOS, Windows)
• Serveurs SSH Dropbear, utilisés par défaut sur OpenWrt
• Conteneurs Alpine Linux qui n'exécutent pas de serveur sshd
• Systèmes sur lesquels l'authentification par mot de passe est désactivée (PasswordAuthentication no)
Le compte root n'est pas directement exposé dans la configuration par défaut d'OpenSSH, qui refuse les connexions root par mot de passe.
À l'heure actuelle, aucune trace d'exploitation par des groupes d'attaquants n'a été remontée. Cependant, les détails techniques et la méthode d'exploitation sont publics et triviaux à reproduire.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
Afin de vérifier si un équipement est compromis, vous pouvez :
• Rechercher les connexions par mot de passe réussies dans les journaux SSH (sur Alpine Linux : grep "Accepted password" /var/log/messages)
• Pour chaque compte trouvé, vérifier son champ de mot de passe dans /etc/shadow : si celui-ci vaut uniquement "*", le compte n'aurait jamais dû accepter de mot de passe et la machine doit être considérée comme compromise
Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.
Remédiation
Mettre à jour OpenSSH vers la version :
• 10.6p2 et supérieures
Sur Alpine Linux, mettre à jour le paquet openssh-server (ou openssh-server-pam) vers les versions :
• Edge : 10.6_p2-r0 et supérieures
• 3.24 : 10.3_p1-r2 et supérieures
• 3.23 : 10.2_p1-r1 et supérieures
• 3.22 : 10.0_p1-r11 et supérieures
• 3.21 : 9.9_p2-r1 et supérieures
• 3.20 : 9.7_p1-r6 et supérieures
• 3.16 à 3.19 : versions correctives publiées sur chaque branche
Redémarrer ensuite le service sshd. Les images de conteneurs Alpine qui exécutent sshd doivent être reconstruites pour intégrer le paquet corrigé.
Mitigation
L'éditeur recommande, en l'absence de mise à jour immédiate, de désactiver l'authentification par mot de passe (PasswordAuthentication no dans /etc/ssh/sshd_config, en vérifiant les éventuels blocs Match) ou de désactiver le service SSH sur les systèmes concernés.
Avant de désactiver l'authentification par mot de passe, s'assurer que la connexion par clé SSH fonctionne afin de ne pas perdre l'accès au système.
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
