OpenSSH : une faille d'authentification critique sur les distributions musl
La vulnérabilité CVE-2026-123158 permet de contourner l'authentification sur les systèmes musl ; Alpine Linux confirme que toutes ses versions vérifiées sont touchées.
Une vulnérabilité critique de contournement d'authentification dans OpenSSH affecte les distributions Linux reposant sur musl, selon le site zdnet.com. Identifiée sous la référence CVE-2026-123158, elle permet à un attaquant de se connecter à des comptes dont le mot de passe est désactivé ou réservé à l'authentification par clé, en envoyant un mot de passe surdimensionné de 257 à 1024 octets.
Le défaut provient de la fonction crypt() de musl, qui renvoie la chaîne * comme indicateur d'erreur pour les entrées longues. Cette valeur correspond au * stocké dans le champ mot de passe des comptes sans mot de passe. L'exploitation exige toutefois plusieurs conditions : un serveur openssh-server compilé sans PAM (ou avec UsePAM no), l'option PasswordAuthentication activée, et au moins un autre compte de la machine disposant d'un hash de mot de passe de 5 ou 6.
Alpine Linux a indiqué que toutes ses versions vérifiées sont concernées, de la 3.16 à la 3.24 ainsi que la branche edge. La distribution pointe en particulier les images tiny-cloud 3.18.11 à 3.24.3 comme particulièrement vulnérables. En revanche, les conteneurs sans sshd, les systèmes dont l'authentification par mot de passe est désactivée et ceux qui utilisent openssh-server-pam avec UsePAM yes ne sont pas affectés.
Wind River a pour sa part déclaré examiner activement la vulnérabilité signalée et prendre les mesures appropriées. Les utilisateurs sont invités à appliquer les correctifs sans délai et à redémarrer le logiciel une fois mis à jour.
Un comportement présent depuis 2016
Selon le groupe qui a découvert le problème, le comportement de crypt() dans musl à l'origine de la faille existe depuis 2016. Quelques jours avant cette divulgation, Alpine Linux avait déjà traité une faille de sécurité dans son implémentation de GitLab. Depuis environ la version 3.16 d'Alpine, root est livré sous la forme root:* dans l'image de base, mais l'option par défaut d'OpenSSH PermitRootLogin prohibit-password bloque la connexion directe en root.
En bref
Quelles distributions sont concernées par CVE-2026-123158 ?
Alpine Linux indique que toutes ses versions vérifiées sont touchées, de la 3.16 à la 3.24 et edge, avec les images tiny-cloud 3.18.11 à 3.24.3 particulièrement vulnérables. La faille touche plus largement les distributions Linux reposant sur musl.
Quels systèmes ne sont pas affectés ?
Selon Alpine Linux, les conteneurs sans sshd, les systèmes dont l'authentification par mot de passe est désactivée et ceux qui utilisent openssh-server-pam avec UsePAM yes ne sont pas affectés.
Que faire si mon système est vulnérable ?
Les utilisateurs sont invités à appliquer les correctifs immédiatement et à redémarrer le logiciel après la mise à jour.