ニュース
長いパスワードで認証を回避する脆弱性「*sshole」、「Alpine Linux」などに影響
2016年から存在、「OpenSSH 10.6p2」で対策
2026年11月6日 18:47
「OpenSSH」に関連する脆弱性「*sshole」が報告され、影響する製品で対策が急がれている。
脆弱性の内容は、本来はパスワードでログインできないはずのアカウント（パスワード欄が『*』になっている鍵認証専用のユーザーなど）に、257～1,024バイトの長いパスワードを送ると、内容にかかわらずログインできてしまうというもの。発見者によると、この問題は2016年から存在していたという。 「CVE-2026-123158」 として識別されており、「CVSS 3.1」の基本値は「8.1」（High）と評価されている。
発見者によると、「musl libc」の「crypt()」関数は失敗すると『*』を返し、SHA-512方式は256バイトを超えるパスワードを受け付けない。「OpenSSH」（sshd）は2016年に「CVE-2016-6210」を修正した際、有効なハッシュがないアカウントには他のアカウントのソルト（ハッシュ計算時に加えるランダムな文字列）を借りて照合する処理を入れた。この処理と「musl」側の挙動が組み合わさり、長すぎるパスワードで返されるエラー文字列『*』が、アカウントのパスワード欄の『*』と一致して認証が通ってしまうという。
「OpenSSH」の開発チームによると、脆弱性の根本原因は「sshd」そのものにあるわけではない。「musl libc」を用い、PAM（Pluggable Authentication Modules）を無効にしたLinux環境にのみ影響する複合的な問題だ（「glibc」を使う「Debian」や「Ubuntu」、「Fedora」、およびPAM経由でログインする環境は影響を受けない）。具体的には「Alpine Linux」などが該当するようで、その開発チームは以下の条件をすべて満たす環境が影響を受けるとしている。
- PAMを使わずに「sshd」を実行している（「Alpine Linux」の「openssh-server」パッケージの既定。［openssh-server-pam］で［UsePAM no］としている場合も該当）
- パスワード認証（PasswordAuthentication）が有効（「OpenSSH」の既定）
- パスワード欄が『*』のアカウントがある（鍵認証専用のユーザー、ディレクトリサービス経由のユーザー、「Alpine Linux」3.16以降のrootなど）。ただし、rootへのパスワードログインは既定の設定では禁止されており、直接ログインには［PermitRootLogin yes］の設定も必要
- 少なくとも1つのローカルアカウントが『$5$』『$6$』形式のパスワードハッシュをもつ
とはいえ、本脆弱性が「sshd」経由で悪用可能で、「sshd」側で回避できるのは事実だ。そこで、対策版として11月5日付けで「OpenSSH 10.6p2」がリリースされている。「Alpine Linux」でも修正済みのパッケージが公開済み。対象環境では、修正版への更新後に「sshd」を再起動する必要がある。すぐに更新できない場合の緩和策も案内されている。
なお、「OpenSSH」の開発チームは、AIツールが見つけたセキュリティ欠陥が他の研究者からも独立して発見・報告される例が相次いでいると指摘。決められた日時まで欠陥を公開しないようにする取り決め（エンバーゴ）があっても、公開を待つ間に攻撃者が同じ欠陥を発見・悪用する可能性はある。同チームは、当面は修正を次の予定リリースまでまとめて待つのではなく、より頻繁にリリースする方針を示している。
