Alpine Linux और OpenSSH ने गंभीर सुरक्षा खामी को ठीक किया

यह भेद्यता, जिसे CVE-2026-123158 के रूप में पहचाना गया है, musl सी लाइब्रेरी के crypt फंक्शन से संबंधित है। जब कोई सिस्टम बिना प्लगेबल ऑथेंटिकेशन मॉड्यूल के डिफ़ॉल्ट openssh-server पैकेज का उपयोग करता है और पासवर्ड प्रमाणीकरण सक्षम होता है, तो यह समस्या उत्पन्न होती है। यदि हमलावर 257 से 1024 बाइट्स की लंबाई का पासवर्ड भेजता है, तो musl का crypt फंक्शन त्रुटि के रूप में एक तारांकन चिह्न लौटाता है। चूंकि पासवर्ड रहित खातों के पासवर्ड क्षेत्र में भी यही चिह्न होता है, इसलिए सिस्टम इसे सही पासवर्ड मानकर लॉगिन की अनुमति दे देता है।

इस हमले के लिए लक्षित खाते के नाम की आवश्यकता होती है। Alpine Linux के अनुसार, यदि सिस्टम में पासवर्ड वाला एक भी उपयोगकर्ता मौजूद है, तो हमलावर उन सभी खातों तक पहुँच सकता है जिनमें पासवर्ड नहीं है। यह समस्या उन सभी ऑपरेटिंग सिस्टम को प्रभावित कर सकती है जो musl का उपयोग करते हैं, जिनमें Adelie Linux, Void Linux, Sabotage Linux, OpenWrt और Yocto Project शामिल हैं। Wind River भी इस भेद्यता के प्रभाव का मूल्यांकन कर रहा है और आवश्यकतानुसार कार्रवाई करेगा।

यह समस्या उन प्रणालियों को प्रभावित नहीं करती है जो glibc का उपयोग करती हैं, जैसे कि Debian, Ubuntu और Fedora, क्योंकि उनका crypt फंक्शन त्रुटि होने पर शून्य लौटाता है। *sshole समूह के अनुसार, यह दुष्प्रभाव वर्ष 2016 से मौजूद था।