Напомним механику: в сборках OpenSSH на musl без PAM, где разрешён вход по паролю и есть учётная запись с * в /etc/shadow, принимается любой пароль длиной от 257 до 1024 символов. Уязвимость живёт с 2016 года, затрагивает Alpine, OpenWrt, Buildroot, Yocto и десятки Docker-образов, а исправление вышло в OpenSSH 10.6p2.
Теперь у истории появилась вторая часть. По данным Cowrie-honeypot, с 1 ноября выросло число попыток входа с необычно длинными паролями; 5 ноября начались повторяющиеся попытки эксплуатации с характерными шаблонами. Адреса-источники принадлежат множеству разных автономных систем по всему миру, то есть это не одна кампания с одного VPS, а скорее массовое сканирование.
По оценке OffSeq, часть попыток, судя по данным honeypot, могла быть успешной, но последствия пока не разобраны. В CISA KEV уязвимость не внесена, публичного кода эксплойта в Metasploit и Exploit-DB нет, EPSS — около 1%. Отсутствие записи в KEV здесь слабый успокаивающий признак: сканирование уже идёт, а патч простой.
Кого это касается
В первую очередь те, у кого одновременно: musl, нет PAM, включён PasswordAuthentication и есть служебные учётные записи с *. Это типичная картина для Alpine в контейнерах, роутеров на OpenWrt и встраиваемых сборок.
Что делать
Обновиться до 10.6p2 — самый короткий путь. Если обновление недоступно, выключить вход по паролю. Затем проверить журналы: строки «Accepted password» для учётных записей, которые не должны пускать по паролю, и попытки с длиной пароля больше 256 символов.
Если такой вход состоялся, считать хост скомпрометированным: сменить ключи, проверить автозапуск, cron и исходящие соединения.
The mechanics, briefly: on musl-based OpenSSH builds without PAM, where password login is enabled and an account has * in /etc/shadow, any password between 257 and 1024 characters is accepted. The flaw has existed since 2016 and affects Alpine, OpenWrt, Buildroot, Yocto and many Docker images; the fix is OpenSSH 10.6p2.
Now the story has a second part. Cowrie honeypots show a rise in login attempts with unusually long passwords since 1 November, and repeated exploitation attempts with characteristic patterns began on 5 November. The source addresses span many autonomous systems worldwide, which looks less like one campaign from a single VPS and more like mass scanning.
According to OffSeq, some attempts may have succeeded judging by honeypot data, though the impact has not been analysed yet. The flaw is not in CISA KEV, there is no public exploit code in Metasploit or Exploit-DB, and EPSS is about 1%. The missing KEV entry is weak comfort here: scanning is already under way and the patch is simple.
Who is affected
Primarily systems that combine musl, no PAM, PasswordAuthentication enabled and service accounts with *. That is a typical picture for Alpine containers, OpenWrt routers and embedded builds.
What to do
Update to 10.6p2 — the shortest path. If you cannot, disable password authentication. Then check the logs for “Accepted password” on accounts that should never accept one, and for attempts with passwords longer than 256 characters.
If such a login succeeded, treat the host as compromised: rotate keys and check autostart, cron and outbound connections.