Di una cosa bisogna dar atto alle persone che battezzano le vulnerabilità: non mancano mai di creatività. Questa di cui parliamo oggi, poi, forse in termini di ironia le batte tutte: *sshole. Senza voler tradurre cosa significhi, che tanto ci siamo capiti, ai fan della serie Boris, leggendo questo nome sarà venuto in mente il solo ed unico Biascica, interpretato da Paolo Calabresi:
Ma stiamo divagando.
Come i più attenti avranno capito, il nome *sshhole fa riferimento a SSH, la shell sicura usata universalmente per connettersi a sistemi Unix e Linux (oltre che, negli anni recenti, insospettabilmente, anche Windows).
Associato alla CVE-2026-123158, *sshole è un bug di autenticazione che permette di accedere via SSH ad alcuni sistemi Linux senza conoscere la password. Il problema nasce dall’interazione tra OpenSSH, che gestisce le connessioni SSH, e musl, una libreria di sistema utilizzata, ad esempio, da Alpine Linux al posto della più comune glibc.
E se ci state pensando, sì, questo sembra proprio essere il mese di Alpine Linux.
Come spiega ARS Technica, alcuni account Linux sono configurati per non accettare password: nel file /etc/shadow il campo della password contiene un asterisco (*), che indica l’assenza di una password valida. Normalmente questi account possono essere utilizzati soltanto attraverso altri sistemi di autenticazione, come le chiavi SSH.
Il problema sta nel modo in cui musl gestisce le password troppo lunghe. Quando riceve una password superiore a 256 caratteri, la funzione crypt() non riesce a elaborarla e restituisce semplicemente * per segnalare un errore. Ed è qui che nasce la vulnerabilità: in determinate configurazioni OpenSSH confronta il risultato di questa operazione con il valore memorizzato in /etc/shadow. Poiché entrambi sono *, il confronto viene interpretato erroneamente come un’autenticazione riuscita.
Di conseguenza, un attaccante che raggiunge il server SSH può inserire una password arbitraria tra 257 e 1.024 caratteri e ottenere l’accesso a un account che dovrebbe essere protetto dal login tramite password. La cosa piuttosto inquietante è che non serve effettuare tentativi ripetuti: può bastare una sola connessione.
La buona notizia è che non tutti i sistemi Linux sono vulnerabili: devono essere contemporaneamente presenti musl, OpenSSH (senza PAM, configurazione abbastanza atipica), autenticazione tramite password abilitata, un account con * nel campo password e almeno un altro account attivo con una password cifrata tramite SHA-256 o SHA-512.
Pertanto il problema riguarda alcune installazioni di Alpine Linux e potenzialmente altri sistemi basati su musl. La conseguenza può essere particolarmente grave: alcune immagini cloud ufficiali di Alpine includono un account alpine con privilegi doas, che può consentire di arrivare a root.
La correzione è stata pubblicata il 5 novembre 2026 con OpenSSH 10.6p2 e relativi aggiornamenti dei pacchetti Alpine.
Se doveste rientrare nella casistica e non fossero ancora disponibili pacchetti di aggiornamento, è possibile mitigare il problema impostando PasswordAuthentication no in /etc/ssh/sshd_config.
Tornando, e chiudendo, con Boris, giusto perché è venerdì, ricordatevi di non seguire il consiglio di Duccio in questo caso:
Biascica, APRI TUTTO!
Anzi, se possibile, chiudete la porta 22.
🙂
Da sempre appassionato del mondo open-source e di Linux nel 2009 ho fondato il portale Mia Mamma Usa Linux! per condividere articoli, notizie ed in generale tutto quello che riguarda il mondo del pinguino, con particolare attenzione alle tematiche di interoperabilità, HA e cloud.
E, sì, mia mamma usa Linux dal 2009.
è troppo bella per essere vera!
meno male che è limitata (ma mica tanto… Alpine è l’ìimmagine più usata nei container, dove *forse* ssh non è comunissimo)
Top per la citazione di una “opera omnia” sulle sottoproduzioni (ma anche grandi produzioni – tipo le soap della RAI/Mediaset/Fininvest, nda) più unica che rara. Anzi, solamente unica.