何が起きたか
- 研究者のOzgun Kultekinは2026年11月5日、OpenSSHと、AlpineなどのLinuxディストリビューションが使う軽量なC言語ライブラリmuslとのやり取りにある、*ssholeと名付けた欠陥を公表した。
- 攻撃者は、パスワードを受け付けないよう設定された一部のアカウントに、256文字を超えるパスワードを入力するだけで侵入できる。
- Alpineのメンテナーは、こう要約した。SSHポートに到達できる者は誰でも、パスワードを知らなくてもログインできる。接続は1回で済み、再試行も要らない。
- OpenSSHは同じ木曜日にバージョン10.6p2で修正を公開した。Alpineも更新版を出した。
なぜ重要か
- Linuxは、パスワードを使ってはならないアカウントにアスタリスクを付けて示す。この保護の印こそが、欠陥によって侵入口に変わる。
- Ars Technicaによれば、Alpineはルーター、スマートテレビ、産業用コントローラーで使われており、その多くは更新が難しいか不可能だ。
- AlpineのAWSとAzureの公式イメージには、パスワードなしでdoasの権限を持つ、影響を受けるalpineアカウントが入っており、管理者権限を得られる可能性があるとKultekinは警告している。
数字で見る
256バイト。 muslのcrypt()関数の上限だ。パスワードがこれを超えると、関数はアスタリスクを返し、OpenSSHはそれをアカウントに保存されているアスタリスクと比べる。両者は一致し、アクセスが許可される。
背景
このバグは修正から生まれた。2016年、OpenSSHは欠陥CVE-2016-6210を直すために動作を変えた。この欠陥では、応答時間からユーザー名を推測できた。以来、使えるパスワードのないアカウントについてもハッシュを計算するようになり、そこでmuslとぶつかる。
条件がある。muslのシステムで、PAM認証が無効（Alpineの既定）であり、アスタリスクの付いたアカウントがあること。Check Pointは、sshdがソルトを借りるため、別のアカウントがSHA256またはSHA512を使っている必要があるとも付け加えている。Debian、Ubuntu、Fedoraのようなglibcのシステムは影響を受けない。有効なハッシュを持つアカウントでパスワードを回避することもできない。
OpenSSHとmuslは、根本原因がどこにあるかで意見が合わず、それぞれ責任を相手側に置いている。Ars Technicaは、割り当てられたCVEは確認されていないとも指摘している。Kultekinは、約17,600回の認証テストを走らせたAIエージェントで見つけたと述べている。
Mamíferoでは、この種の欠陥を追ってきた。PHPが2年間止まっていた2件のリモート実行の欠陥を修正したことや、攻撃者がcPGuardの更新を使ってデータを盗んだことを伝えた。ほかに、WorkOSが自動化された攻撃を受けたこと、Claudeが123のオープンなライブラリの安全性をテストしたことも伝えている。
今後
- Alpineの管理者は
apk upgrade opensshを実行するか、できない場合はSSHのPasswordAuthenticationを無効にするべきだ。 - パスワードによるログインを許さないはずのアカウントで、そうしたログインがないか、ログを確認する価値がある。
- OpenWrt、Buildroot、Yoctoが影響を受けるかは、まだ確認されていない。Ars Technicaによれば、OpenWrtは既定ではOpenSSHではなくDropbearを使う。
まとめ
2016年の修正と、別のライブラリのエラー値が、10年にわたって扉を開けたままにした。これからの難題は、誰も更新しない機器でその扉を閉じることだ。
出典
- BleepingComputer、「OpenSSH flaw lets attackers log into password-disabled Linux accounts」、2026年11月5日、リンク。
- Ars Technica、「Meet *sshole, the vulnerability that lets hackers SSH into Linux devices」、2026年11月5日、リンク。
- カバー画像：Esquilo、CC BY-SA 3.0、Wikimedia Commonsより
編集：Rodrigo Cornejo。選定と検証の方法：ノートを書いているのは誰か。
