Falha no OpenSSH permite bypass de autenticação por senha em sistemas com musl sem PAM

A falha atinge o OpenSSH quando o sshd roda sobre musl (Alpine, OpenWrt, Buildroot, Yocto), sem PAM e com login por senha ativo, o que é o padrão. Segundo a fonte, o openssh-server do Alpine não usa PAM por padrão, e o mesmo vale para quem configurou UsePAM no.

O cenário de risco exige uma conta com apenas * no campo de senha (usuários só com chave, usuários LDAP, root no Alpine) e outra conta com senha real. Nesse caso, a conta com * aceita qualquer senha entre 257 e 1024 caracteres. A causa, de acordo com o resumo, é que o marcador de falha da função crypt() do musl coincide com o valor armazenado no campo de senha. Nas imagens oficiais do Alpine na AWS e na Azure, o usuário alpine padrão tem doas sem senha, então o bypass vira root. Sistemas com glibc, PAM, dropbear ou OpenBSD não são afetados.

Para quem opera containers e imagens enxutas baseadas em musl, isso significa checar o campo de senha das contas e se o login por senha está mesmo desligado. Na leitura editorial, a falha mostra como um detalhe de integração entre biblioteca C e daemon pode abrir acesso, mesmo com a conta aparentemente bloqueada.