Kundenportal
Kundenportal

Security Alert · Schwachstelle

OpenSSH auf Alpine Linux: Passwort-Anmeldung lässt sich mit überlangen Passwörtern umgehen

!Risiko hochVeröffentlicht Aktualisiert
Risikostufe
Hoch
Kategorie
Schwachstelle
Betroffene Systeme
Alpine Linux mit openssh-server (ohne PAM) oder openssh-server-pam mit UsePAM no, bei aktivierter Passwort-Anmeldung, einem Zielkonto mit Passwortfeld * und mindestens einem weiteren lokalen Konto mit $5$- oder $6$-Hash
Abhilfe verfügbar
Ja: OpenSSH 10.6p2 bzw. das jeweilige Alpine-Paket, danach sshd neu starten
Quelle
CERT-Bund WID-SEC-2026-4365, OpenSSH Release Notes 10.6p2, Previdian, Alpine Linux Security advisory

Was ist passiert?

Update 08.11.2026: Der Sicherheitsanbieter Previdian meldet auf seiner öffentlichen Seite Ausnutzungsversuche gegen CVE-2026-123158, erstmals beobachtet am 06.11.2026, zuletzt am 07.11. Zum Stand 08.11. nennt die Seite 19 Versuche von 12 Absender-Adressen auf 4 Sensoren. Nach Hinweis des Anbieters belegen diese Beobachtungen nicht, dass ein Ziel verwundbar war oder ein Versuch erfolgreich war. Eine flächendeckende Kompromittierung oder eine Bestätigung durch eine Behörde ergibt sich daraus nicht; die Lücke steht laut Previdian nicht im CISA-Katalog bekannter ausgenutzter Lücken. Die Risikoeinstufung bleibt unverändert bei hoch.

OpenSSH hat am 05.11.2026 die Version 10.6p2 mit einem Sicherheits-Workaround für Linux-Systeme veröffentlicht, die die C-Bibliothek musl nutzen und bei denen PAM deaktiviert ist. Angreifer können sich dort an einem Konto ohne gesetztes Passwort (Passwortfeld `*`, typisch bei Konten nur mit SSH-Schlüssel) anmelden, indem sie ein Passwort mit 257 bis 1.024 Bytes senden. Voraussetzung ist, dass mindestens ein weiteres Konto auf dem System einen `$5$`- oder `$6$`-Passwort-Hash hat. Alpine Linux hat Pakete mit Korrekturen für die Zweige 3.16 bis 3.24 und edge veröffentlicht. Das CERT-Bund führt die Lücke seit dem 06.11.2026 unter WID-SEC-2026-4365 und CVE-2026-123158 und stuft sie als hoch ein.

Ohne PAM prüft sshd Passwörter über `crypt()`. Hat ein Konto ein zu kurzes Passwortfeld, leiht sich sshd den Salt eines anderen Kontos. musl liefert bei Passwörtern über 256 Bytes als Fehlerwert `*` zurück. Das entspricht genau dem Passwortfeld von Konten ohne Passwort, und die Anmeldung gilt als erfolgreich.

Wer ist betroffen?

Alpine-Linux-Server mit dem Paket `openssh-server` (ohne PAM) oder mit `openssh-server-pam` und `UsePAM no`, wenn zugleich die Passwort-Anmeldung aktiv ist (OpenSSH-Standard), ein Konto mit Passwortfeld `*` existiert und mindestens ein Konto einen `$5$`- oder `$6$`-Hash hat. Die Voreinstellung `PermitRootLogin prohibit-password` verhindert die direkte Passwort-Anmeldung als root. Ein übernommenes anderes Konto kann je nach vorhandenen Rechten dennoch weitergehenden Zugriff ermöglichen. Nicht betroffen sind Container ohne laufenden sshd, Systeme mit `PasswordAuthentication no`, `openssh-server-pam` mit `UsePAM yes` sowie gesperrte Konten (`!`). Nach Angaben von OpenSSH sind „einige Linux-Systeme“ mit musl und deaktiviertem PAM betroffen, nicht nur Alpine.

Wie hoch ist das Risiko?

Hoch. Das CERT-Bund stuft die Lücke als hoch ein, und in der betroffenen Konfiguration genügt eine einzige Verbindung ohne Vorkenntnis eines Passworts. Wo PAM aktiv ist, die Passwort-Anmeldung abgeschaltet ist oder kein Konto einen Passwort-Hash hat, besteht die Lücke nicht.

So schützen Sie sich

  1. OpenSSH auf 10.6p2 bzw. das jeweilige Alpine-Paket aktualisieren und sshd neu starten. Ein Paketupdate ersetzt den laufenden Dienst nicht.
  2. Wenn das nicht sofort geht: PasswordAuthentication no setzen und sshd neu starten. Vorher die Anmeldung per Schlüssel testen und die laufende Sitzung offen lassen.
  3. In den Logs nach „Accepted password for“ bei Konten ohne Passwort suchen. Lässt sich eine Anmeldung nicht ausschließen, das System als kompromittiert behandeln.

Quellen

Mehr zum Thema

Akuter Verdacht oder Fragen zu Ihren Systemen?

Bestandskunden und technische Fälle: Unser Support prüft mit Ihnen.

support@blured.deZum Kundenportal

Absicherung neu planen? beratung@blured.de

Stand: 09.11.2026

© 2026 BDT Group GmbH · blured.de