OpenSSH 치명적 인증 우회 취약점 발견...Alpine 등 musl 배포판 패치 권고

musl 기반 리눅스 배포판의 OpenSSH에서 치명적인 인증 우회 취약점이 공개돼 패치됐다. CVE-2026-123158로 추적되는 이 결함은 공격자가 257~1024바이트 크기의 과도한 비밀번호를 전송해 비밀번호가 비활성화됐거나 키 전용으로 설정된 계정에 로그인할 수 있게 한다.

원인은 musl의 crypt() 함수가 긴 입력에 대해 오류 표시로 '*' 문자열을 반환하는 데 있다. 이 값이 비밀번호가 없는 계정의 비밀번호 필드에 저장된 '*'와 일치하면서 인증이 통과된다. 악용에는 PAM 없이 빌드된 openssh-server(또는 UsePAM no 설정)와 PasswordAuthentication 활성화, 그리고 해당 머신에 5 또는 6 비밀번호 해시를 가진 다른 계정이 최소 1개 있어야 한다.

Alpine Linux는 점검한 모든 릴리스가 영향을 받는다고 밝혔다. 3.16부터 3.24까지와 edge가 해당되며, tiny-cloud 이미지 3.18.11부터 3.24.3까지는 특히 취약한 것으로 지목됐다. 반면 sshd가 없는 컨테이너, 비밀번호 인증을 비활성화한 시스템, UsePAM yes로 openssh-server-pam을 사용하는 시스템은 영향을 받지 않는다고 설명했다.

윈드 리버(Wind River)는 보고된 취약점을 적극적으로 검토 중이며 적절한 조치를 취하겠다고 밝혔다. 사용자는 즉시 패치를 적용하고 패치된 소프트웨어를 재시작해야 한다.

문제를 발견한 그룹에 따르면 이 결함을 가능하게 하는 musl crypt() 동작은 2016년부터 존재해 왔다. 한편 Alpine Linux는 이번 공개 직전 자사 GitLab 구현의 보안 결함을 처리했다.