Hacker News Front Page · josemrb ·
*sshole · sshhole.com
El artículo documenta un fallo en OpenSSH sobre musl sin PAM: con la autenticación por contraseña habilitada, algunas cuentas bloqueadas cuyo campo de contraseña es `*` pueden aceptar contraseñas de entre 257 y 1024 caracteres. Explica cómo confluyeron el límite de longitud de `crypt()` en musl y el manejo de cuentas bloqueadas de OpenSSH, y señala las configuraciones afectadas. OpenSSH 10.6p2 corrige el problema; mientras tanto, se recomienda actualizar o deshabilitar la autenticación por contraseña.
openssh on musl linux has been letting people into password-less accounts since 2016.