Cyber ·
Alegação de bypass de senha no OpenSSH com musl libc e registros brutos publicados
Lista oss-sec de 7 de novembro de 2026: o autor publicou 82.236 linhas de medições para sustentar uma alegação de bypass de autenticação por senha no OpenSSH em sistemas com musl libc. A fonte não confirma a validade da alegação.
A publicação é uma continuação, na lista oss-sec, de um texto anterior sobre medições feitas na noite anterior. O autor afirma que houve dúvidas, sobretudo em canais privados, sobre se esses números foram realmente medidos, e por isso publicou o registro bruto completo em um arquivo público. Segundo a descrição, o pacote tem 82.236 linhas, incluindo a saída de um censo da função crypt(), medições de ponta a ponta do tempo de resposta do sshd em dois sistemas (um com contas mistas e outro com todas as contas bloqueadas), cada arquivo de dados com carimbo de data e hora e SHA-256, além das fontes do harness usado. O texto recebido está truncado, então não é possível afirmar mais detalhes sobre a metodologia ou a conclusão. Trata-se de uma alegação de segurança ainda em discussão: a presença de dados brutos não prova por si só que o problema existe. Para verificar, consulte a mensagem original na lista oss-sec, acompanhe as respostas dos mantenedores do OpenSSH e da musl libc, e compare os hashes SHA-256 dos arquivos publicados com os do pacote baixado.
Fonte original: Re: “sshole”: bypass de autenticação por senha em OpenSSH + musl libc