Cyber ·
Discussão no oss-sec sobre autenticação por senha no OpenSSH com musl libc
Post de lista de segurança questiona se o desvio de autenticação por senha no OpenSSH com musl libc funciona sem sal reutilizável e levanta possível vazamento sobre a existência de contas com senha válida.
Este item do Radar é um fio da lista oss-sec, publicado pelo feed em 7 de novembro de 2026 e identificado como tradução automática. A mensagem original foi publicada por Jacob Bachmeyer em 6 de novembro. O escopo declarado é o comportamento da autenticação por senha no OpenSSH quando compilado com musl libc, tema tratado no título como um desvio da autenticação por senha.
O conteúdo disponível é uma pergunta, não um aviso consolidado. O autor questiona se o desvio funciona por completo quando não há sal disponível para reutilizar. Ele também sugere que o sshd pode gerar um sal falso ou falhar a autenticação de forma rápida, o que revelaria se alguma conta da máquina tem senha válida. Segundo o trecho, a suposição de que existe um sal é antiga e se tornou menos segura com imagens de máquinas virtuais em nuvem sem console, acessíveis apenas por login SSH com chave.
O trecho não traz versões afetadas, correções, identificador de vulnerabilidade nem confirmação técnica do vazamento. Essas informações devem ser verificadas nas respostas do próprio fio e nos avisos dos fornecedores ou distribuições.
A relevância para uma organização é verificar se seus servidores usam OpenSSH com musl libc e se a autenticação por senha está habilitada em hosts expostos. Para consultar e verificar, abra o fio original pelo link na entrada do Radar, leia as respostas seguintes e compare com os comunicados da distribuição usada.
A Rota Nacional não corrige o OpenSSH nem avalia esta vulnerabilidade. Sua função aqui é apenas apoiar o estudo do material com proteção de dados.
Fonte original: Re: “sshole”: desvio da autenticação por senha no OpenSSH com musl libc