消息详情

【緊急安全預警】關於 OpenSSH（musl libc 環境）密碼驗證繞過高危漏洞的風險提示發佈時間：2026 年 11 月 5 日級別：CRITICAL（極高危）尊敬的 VPS.Town 用戶：近日安全研究人員公開披露（https://sshhole.com/），在使用 musl libc 的 Linux 系統上（如 Alpine Linux、Buildroot、Yocto，以及大量基於 Alpine 的 Docker 映像），若 OpenSSH 未啟用 PAM，攻擊者可繞過密碼驗證登入「本不應接受密碼登入」的帳號。OpenSSH 官方已於今日發佈 10.6p2 版本修復此問題。此漏洞自 2016 年起潛伏近十年，且利用方式極為簡單，請受影響用戶立即處理。風險摘要觸發條件（需同時符合）：系統使用 musl libc（Alpine Linux 等）；sshd 未使用 PAM（Alpine 的 openssh-server 預設即未啟用）；SSH 密碼登入處於開啟狀態（預設開啟）；系統中存在密碼欄位為 * 的帳號（如僅用金鑰登入的帳號、LDAP 帳號、Alpine 的 root），且另有至少一個設有真實密碼的帳號。危害後果：上述 * 帳號將接受任意長度介於 257 至 1024 字元的密碼，攻擊者可直接登入。在 Alpine 官方 AWS / Azure 映像中，預設的 alpine 帳號具備免密碼 doas 權限，等同直接取得 root 權限。不受影響：Debian、Ubuntu、CentOS、Fedora 等使用 glibc 的系統；透過 PAM 驗證密碼的系統；使用 Dropbear 的系統（如多數 OpenWrt 預設環境）。緊急處置措施立即升級 OpenSSH（最高優先級） apk update && apk upgrade openssh rc-service sshd restart 升級後請以 ssh -V 確認版本為 10.6p2 或更新（或 Alpine 對應的已修補套件版本）。若暫時無法升級，請立即關閉密碼登入 echo "PasswordAuthentication no" > /etc/ssh/sshd_config.d/00-no-passwords.conf rc-service sshd restart 請先確認已可使用 SSH 金鑰登入，避免將自己鎖在伺服器外。若您的 VPS 無法使用金鑰，可透過控制面板的 VNC 主控台操作。限制 SSH 對公網開放建議在安全組或防火牆中將 22 埠限制為指定 IP 存取，或改經 WireGuard / Tailscale 等 VPN 連線。自我檢查方式確認是否為 musl 系統：ls /lib/ld-musl*（有輸出即為 musl）確認 sshd 設定：sshd -T | grep -Ei 'usepam|passwordauthentication' 列出密碼欄位為 * 的帳號：awk -F: '$2=="*" {print $1}' /etc/shadow 檢查是否已遭入侵：grep "Accepted password" /var/log/messages 若發現「僅限金鑰登入」的帳號出現密碼登入成功記錄，代表主機很可能已失陷。請立即備份重要資料、重裝系統，並更換所有相關憑證與金鑰。平台合規提醒 VPS.Town 已加強對實例出站流量的異常審計。若您的實例因此漏洞遭入侵並被用於對外攻擊、掃描或挖礦，我們將依規則暫時隔離網路連線，以保障整體網路穩定。如需協助，請透過工單與我們聯繫。請各位站長盡快完成加固！ VPS.Town 2026.11.05

AI 助手

通知訊訊

相關消訊