Cyber ·
Discussão no oss-sec sobre retorno NULL de crypt() e a autenticação por senha no OpenSSH com musl libc
Um participante da lista oss-sec defende que aplicações que não verificam o retorno NULL de crypt() falhem, e comenta mudanças em APIs do sistema. O texto é uma tradução automática de uma mensagem de 6 de novembro de 2026.
A mensagem, publicada na lista de discussão oss-sec em 6 de novembro de 2026, responde a um tópico intitulado sobre desvio da autenticação por senha no OpenSSH com musl libc. Ela cita um comentário de que, antes da mudança no OpenSSH por volta de 2019, o Debian exibiria uma página de manual diferente, que documentava apenas NULL como retorno em caso de erro. O autor da resposta afirma que alterar APIs do sistema é problemático e que aplicações que não verificam um ponteiro NULL deveriam falhar. O conteúdo indicado é uma tradução automática e não traz detalhes técnicos adicionais, como versões afetadas ou correções publicadas.
Para quem administra sistemas, o ponto prático é revisar código próprio que chama crypt() e confirmar se o retorno NULL é tratado. A Rota Nacional não corrige bibliotecas do sistema nem resolve o problema de engenharia descrito. Se você usar IA para estudar o material, não cole senhas, hashes, chaves, nomes de hosts internos ou trechos de configuração reais. A plataforma detecta dados pessoais antes de qualquer modelo rodar e aplica a política da organização, mas o cuidado principal continua sendo do usuário. Consulte a mensagem original no arquivo público da lista oss-sec para verificar os fatos.
Fonte original: Re: “sshole”: desvio da autenticação por senha no OpenSSH com musl libc