OpenSSH 10.6p2 corrige un contournement par mot de passe trop long sur Linux musl, découvert à l'aide d'agents d'IA

Le projet OpenSSH a publié le 5 novembre une version d'urgence, la 10.6p2, pour bloquer un contournement d'authentification touchant les systèmes Linux construits sur la bibliothèque C musl, comme Alpine Linux. Le problème, surnommé « sshole » par son découvreur Özgün Kültekin, de la société de tests Wakefield, permettait de se connecter à des comptes censés refuser tout mot de passe, dont root et des utilisateurs réservés aux clés SSH.

Comment fonctionne le contournement

Sous musl, la fonction crypt() renvoie un astérisque lorsqu'un mot de passe dépasse 256 octets. Or, un astérisque est aussi ce que de nombreux systèmes stockent dans le champ mot de passe des comptes qui n'en ont pas. En comparant les deux, sshd constatait une correspondance et acceptait la connexion. D'après The Hacker News et CSO Online, l'exploitation suppose un sshd compilé ou lancé sans PAM, l'authentification par mot de passe activée (le réglage par défaut), un compte connu dont le champ contient un astérisque et au moins un autre compte doté d'un véritable hachage. Le paquet openssh-server par défaut d'Alpine remplit la première condition. Selon CSO, sur certaines images cloud d'Alpine, l'utilisateur par défaut dispose de droits doas sans mot de passe, ce qui ouvre la voie jusqu'à root.

OpenSSH présente la modification comme un contournement et situe la cause profonde hors de sshd. Les distributions fondées sur glibc, comme Debian, Ubuntu et Fedora, ainsi que les configurations utilisant PAM, ne seraient pas concernées. Alpine a publié des paquets corrigés ; à défaut de mise à jour, il est possible de régler PasswordAuthentication sur no. Help Net Security et CSO désignent la faille sous la référence CVE-2026-123158, tandis que The Hacker News indiquait qu'aucune CVE n'avait été attribuée au moment de son article.

Le rôle de l'IA

Selon Help Net Security, Kültekin dit avoir employé des « essaims d'agents » d'IA pendant ses recherches et ses tests ; il n'a pas été rapporté qu'il attribue la découverte à l'IA seule. Côté défense, Damien Miller, d'OpenSSH, a indiqué, d'après The Hacker News, que l'équipe a récemment vu des agents d'IA retrouver indépendamment les mêmes bogues, parfois en quelques heures. Il y voit une raison de se méfier des longs embargos, d'où la rapidité du correctif.

Les attaquants ont eux aussi réagi vite. Help Net Security rapporte que Previdian a détecté une première tentative moins de neuf heures après la publication de la CVE et qu'un pot de miel sous Alpine a été compromis avec un accès root. Son fondateur, Ryan Dewhurst, estime que l'IA rend les attaquants plus rapides. Les premiers articles du 5 novembre ne faisaient état d'aucune attaque, et l'ampleur de l'exploitation au-delà des capteurs de Previdian reste inconnue.