Programação Por Equipe DevBras

Capa do artigo: OpenSSH 10.6p2: bypass de senha em Alpine/musl

OpenSSH 10.6p2: bypass de senha em Alpine/musl

OpenSSH 10.6p2 corrige bypass de senha via sshd em Linux musl sem PAM (ex.: Alpine). Veja quem está afetado, mitigação imediata e o pacote do edge.

O Portable OpenSSH 10.6p2, lançado em 05/11/2026, traz um workaround de segurança crítico: evita um bypass de autenticação por senha explorável via sshd(8) em alguns Linux quando o sshd é compilado e executado com suporte PAM desabilitado. O projeto afirma que a causa raiz está fora do sshd, mas o vetor passa por ele. Não há CVE público no release note.

Damien Miller, do OpenSSH, foi direto: se você opera Linux com musl libc sem PAM (o caso típico do Alpine Linux), imediatamente defina PasswordAuthentication=no ou desabilite o SSH nesses sistemas. Abaixo: quem está afetado, como checar, mitigação, update no Alpine edge e o que fazer com imagens Docker baseadas em Alpine (inclusive se você usa um painel como o Dockyard pra enxergar o que roda onde).

O que o 10.6p2 corrige

Segundo o release note oficial do OpenSSH 10.6p2 (também em releasenotes.html#10.6p2), a correção evita um bypass de autenticação por senha via sshd que afeta alguns sistemas Linux quando o suporte a PAM está desabilitado no build e na execução. O bug foi reportado por Özgün Kültekin (Wakefield).

O próprio release explica a pressa: a equipe tem visto bugs rediscobertos depressa por agentes de IA; um embargo longo favorece quem não reporta. Por isso o projeto está soltando correções com mais frequência.

Quem está afetado — e quem não está

Afetado

  • Linux com musl libc e autenticação por senha sem PAM (compilado sem PAM ou com UsePAM no).
  • Damien Miller confirmou: build com --with-pam mas UsePAM no também é afetado.
  • Exemplo clássico: Alpine Linux e containers Alpine/musl com SSH por senha.

Não afetado

  • Sistemas não-Linux.
  • Linux/glibc.
  • Linux que usa PAM para autenticação por senha.
  • Dropbear (confirmação pública / ncopa) — não é afetado.

Como saber se você está exposto

No Alpine (e em imagens Alpine):

apk info musl
sshd -V 2>&1 | head -1
sshd -T | grep -Ei 'usepam|passwordauthentication'
apk version openssh

Se a máquina é musl, usepam está no e PasswordAuthentication está yes, trate como exposta e mitigue agora — mesmo que o pacote ainda não seja 10.6p2. Não confie só em ldd | grep pam: o caso --with-pam + UsePAM no também entra.

Mitigação imediata

Prioridade número um, alinhada ao alerta do Damien Miller:

# em /etc/ssh/sshd_config (ou em um drop-in)
PasswordAuthentication no

sshd -t
rc-service sshd reload
# ou: service sshd reload
  • Garanta acesso por chave SSH antes de desligar senha, senão você se tranca fora.
  • Alternativa do alerta: desabilitar o SSH nesses sistemas até atualizar.

Atualizar o OpenSSH no Alpine

Edge

O pacote openssh 10.6_p2-r0 já aparece em security.alpinelinux.org/srcpkg/openssh e no pkgs.alpinelinux.org para o edge:

apk update
apk upgrade openssh
apk version openssh
# espere ver openssh-10.6_p2-r0

Branches estáveis

Em 05/11/2026, as branches estáveis checadas (v3.19–3.24 / 3.20–3.24) ainda não listavam 10.6_p2. Exemplos naquele momento: 3.22 em 10.0_p1-r11, 3.21 em 9.9_p2-r1, 3.24 em 10.3_p1-r2. Não assuma que o patch estável já saiu: mitigue com PasswordAuthentication no e acompanhe o pacote da sua branch em security.alpinelinux.org.

Docker, Alpine e inventário

Imagens alpine, distroless musl e serviços com sshd dentro do container entram no mesmo critério. Atualize a base quando o pacote existir na branch que você usa; até lá, desligue autenticação por senha (ou o SSH) nas imagens e templates. Se você gerencia muitos containers, um inventário ajuda — falamos de opções (incluindo Dockyard) em painéis pra Docker.

O que checar depois

  • PasswordAuthentication no (ou SSH desligado) aplicado onde couber.
  • sshd -t ok e reload feito (rc-service sshd reload / service sshd reload).
  • No edge: confirme openssh-10.6_p2-r0.
  • Nas estáveis: continue mitigado até o pacote da branch.
  • Revise golden images, CI e hosts Alpine “esquecidos”.

Essa semana já teve alerta no gerenciador de pacotes do Debian/Ubuntu; se perdeu, veja a falha no apt (CVE-2026-109518).

Resumo

  • O quê: OpenSSH 10.6p2 — workaround crítico contra bypass de autenticação por senha via sshd (sem CVE no release note).
  • Quem: Linux musl sem PAM pra senha (ex. Alpine); também UsePAM no mesmo com build --with-pam. Não afeta glibc, não-Linux, PAM ativo nem Dropbear.
  • O que fazer: PasswordAuthentication no + reload agora; no edge, apk upgrade openssh para 10.6_p2-r0; estáveis: mitigue e acompanhe.

Fontes: OpenSSH release 10.6p2, releasenotes, Damien Miller (Hachyderm), Alpine security srcpkg openssh.

Avalie este artigo