https://www.opennet.me/openforum/vsluhforumID3/142290.html Разработчики OpenSSH опубликовали экстренное обновление OpenSSH 10.6p2, в котором добавлена защита от критической уязвимости (CVE не назначен), получившей кодовое имя "SSHole" и позволяющей обойти аутентификацию. В системах с библиотекой Musl уязвимость позволяет подключиться к пользователю, для которого не установлен пароль, введя любой пароль, содержащий больше чем 256 символов. Проблема затрагивает дистрибутивы Linux, использующие стандартную библиотеку musl, но не использующие PAM (Pluggable Authentication Modules), такие как OpenWRT, Alpine, Buildroot и Yocto. Особую опасность представляет то, что часто вход по паролю блокируется для пользователя root, что даёт возможность любому удалённо подключиться с правами администратора...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66627<br> https://www.opennet.me/openforum/vsluhforumID3/142290.html#226 Wed, 11 Nov 2026 03:32:31 GMT Господь-господь! <br> https://www.opennet.me/openforum/vsluhforumID3/142290.html#225 Wed, 11 Nov 2026 02:16:01 GMT &gt; Те, у кого openssh в контейнере? Да, все трое уже!<br><br>ну например atmoz/sftp больше млрд скачиваний ))<br> https://www.opennet.me/openforum/vsluhforumID3/142290.html#224 Tue, 10 Nov 2026 15:13:46 GMT Там весь код идёт по одному и тому же пути с расчётом на то что любой пароль с параметрами от другого юзера (потому что "salt" это насколько я понял та же самая строчка что и хэш, просто crypt в её начале читает параметры типа "$5" чтобы понять какой алгоритм использовать) будет всегда фейлить сравнение, т.к. крипт либо выдаст ошибку как NULL в OpenBSD и этот нуль openssh чекает, либо вернёт хэш который не равен звёздочке или любым другим символам не возрващаемые в качестве валидного хэша. Musl просто жидко написали код (как обычно) и выбрали самую тупую строку которую можно было вернуть. Что-то непечатное было бы более удачным решением, или вообще "\n" который вставить в shadow и не получится не ломая формат.<br> https://www.opennet.me/openforum/vsluhforumID3/142290.html#223 Mon, 09 Nov 2026 20:29:56 GMT и что в итоге? защищались от юзер-енумерейшена, а получилось как всегда, полная некомпетентность, как говориться, слышали звон ....!<br> https://www.opennet.me/openforum/vsluhforumID3/142290.html#222 Mon, 09 Nov 2026 14:24:38 GMT &gt; Тогда применительно к - кто умнее, тот и выигрывает эволюцию. Это явно не про вас, не вижу предпосылок.<br><br>Серьезно? нейрослоупок решил со мной битву разума устроить? :))))) Послал бы я тебя тренироваться, но бес толку, чтобы ты делал без меня.<br> https://www.opennet.me/openforum/vsluhforumID3/142290.html#220 Sun, 08 Nov 2026 22:37:24 GMT &gt; Как обычно говорят, л0х0в надо разводить, их природа для того и создала.<br><br>А таки работать в кооперативном режиме - приятнее.<br><br>&gt; А вот взять и потребовать там гарантий, плюс провести верификацию<br><br>...<br>Когда у вас это получится - тогда и приходите.<br><br>&gt; Да я прекрасно понимаю и знаю как все это устроено внутри, ну <br>&gt; вот пойдите с таким "девелопментом" к милитари заказчику,<br><br>Милитари вообще специфичные господа. Если вы думаете что они не лажают - оптимизм это хорошо.<br><br>&gt; заметания под ковер - аукнется в суде и на курорт за решетку.<br><br>Собственно за это господа получают довольно специфичный одор софта. Да и военная техника делается чтоб ее разъ...ли, или сама о цель убивается. А когда вопрос встает ребром - оказывается что ломовой спрос на тех кто практикует нормальные паттерны девелопа. Чтобы было быстро, круто, наносило урон - еще вчера и дешево! И побольше!! И с ИИ, чтоб рэбом не душилось!! А вовсе не.<br><br>&gt; спеку кто будет писать? Промтовиков кто в курс ставить будет? Спеку писать <br>&gt; и спеку имплемен https://www.opennet.me/openforum/vsluhforumID3/142290.html#219 Sun, 08 Nov 2026 22:35:19 GMT &gt; не ожидал, что вместо реального хэша кто-то прокинет эту самую заглушечную <br>&gt; звездочку <br><br>Ну вот, например, автор чудо-оптимизации - оказывается, знал.<br><br>(потому что обычно никто эти звездочки отдельно не проверяет, просто getspwent() скармливают crypt - и нормально реализованный crypt нормально это обработает)<br><br> https://www.opennet.me/openforum/vsluhforumID3/142290.html#218 Sun, 08 Nov 2026 22:17:50 GMT &gt; куча самопальных наколеночных "httpd" которые пароли от админки тоже лезут в <br>&gt; /etc/shadow проверять.<br><br>Им не придет в голову шифровать пароль с хэшом от другого юзера - они в безопастносте.<br><br>crypt("килобайт дерьма","*") честно вернет "x"<br><br>бэкдор был четко рассчитан именно на специфическое поведение openssh, чтоб его не спалили раньше времени.<br><br> https://www.opennet.me/openforum/vsluhforumID3/142290.html#217 Sun, 08 Nov 2026 22:09:39 GMT &gt; P.S. т.е. правильно понял, что если рутовский акк использует авторизацию по ключу <br>&gt; и без установленного пароля, он примет любой длинный пароль?<br><br>нет. Нужно совпадение некоторых звезд на небе:<br>у рута должно быть именно *, а не !, не *!, *DISABLED* или что-то еще, проверяется точное совпадение.<br>пароль должен быть не меньше 257 ("защита от ddos" не срабатывает) и не больше 1024 символов (срабатывает в самом sshd, ага, оказывается она там есть - он такой "пароль" даже не пытается шифровать) - кошка должна ловко вскочить с клавиатуры в нужный момент.<br>Должен существовать хотя бы ЕЩЕ ОДИН пользователь с настоящим паролем.<br>И _первым_ после рутового валидным паролем должен быть именно $5/$6 а не md5 - в md5 внезапно нет этой ненужной "защиты от ddos", а sshd выбирает первую же подошедшую строку перебором сверху.<br><br>Короче, бэкдор был закопан очень тщательно. Случайно на него наткнуться в момент создания было бы маловероятно.<br><br>