W OpenSSH wykryto krytyczną lukę, która umożliwia zdalnemu atakującemu zalogowanie się na serwer bez znajomości poprawnego hasła. Problem dotyczy specyficznej konfiguracji: systemów Linux opartych na bibliotece musl libc (np. Alpine Linux), gdzie proces weryfikacji hasła odbywa się bezpośrednio przez libc, a nie przez moduł PAM. Luka może prowadzić do pełnego przejęcia systemu, zwłaszcza jeśli dopuszczalne jest logowanie na konto roota.
Atak jest możliwy tylko przy spełnieniu kilku warunków jednocześnie: użyciu biblioteki musl, braku obsługi lub wyłączeniu PAM (opcja UsePAM=no), włączonym uwierzytelnianiu hasłem oraz korzystaniu z wersji OpenSSH starszej niż 10.6p2. Podatność nie dotyczy systemów z glibc ani tych, które poprawnie wykorzystują PAM do weryfikacji poświadczeń.
Aby się chronić, należy niezwłocznie zaktualizować OpenSSH do wersji 10.6p2 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, zaleca się ustawienie opcji PasswordAuthentication=no w pliku konfiguracyjnym sshdconfig oraz ograniczenie dostępu do portu SSH na firewallu tylko dla zaufanych adresów IP.
