Tech·THE EXPLAINERニュースを理解する

Alpine Linux SSH flaw lets attackers bypass passwordsAlpine Linux、SSH認証回避の脆弱性

Alpine Linux issued a security advisory for an OpenSSH-server bug allowing login without a password on affected musl-based systems under specific conditions.Alpine LinuxがOpenSSH-serverの認証バイパスに関するセキュリティ勧告を発表、特定条件下でパスワードなしログインが可能だった。

SIGNAL · AI-assisted summarySIGNAL · AIを活用した要約Added SIGNAL掲載 · Nov 7, 2:01 AM JST10 source links ↓出典10件 ↓

Compare storiesほかの記事と比較 Share this story ↗この記事を共有 ↗

THE SOURCE TRAIL情報の根拠

1 news organization linked. No first-party document is linked in this record.報道機関1件にリンクしています。この記録に当事者・公的資料へのリンクはありません。

Claims checked against source text主張と原典の照合記録（英語）

An automated review linked these claims to supplied source text. This is not a human fact-check or independent verification of the source.自動点検が、記事の主張と入力した原典本文を対応づけた記録です。人による事実確認や、原典自体の正しさを独立して検証した結果ではありません。

Alpine Linux published a security advisory for an OpenSSH-server password authentication bypass affecting systems with musl libc under specific conditions
alpinelinux.org ↗
Attacker needs a key-only account (password field '*') and at least one other account with a $5$/$6$ password hash, and sends a password of 257–1024 bytes to log in without credentials
alpinelinux.org ↗
OpenSSH 10.6p2 fixes the issue in sshd; no CVE had been assigned at time of writing; reported by Özgün Kültekin
alpinelinux.org ↗

Reviewed: 照合日時：07/11/2026, 02:01:45 JST

Inspect the sources ↓出典を確かめる ↓

What happened何が起きたか

Alpine Linux published a security advisory describing an OpenSSH-server password authentication bypass, reported by researcher Özgün Kültekin. An attacker who knows the name of a key-only account (stored with a '*' password field) can log in with a single connection using a password of 257 to 1024 bytes, but only if the machine also has at least one other account with a normal $5$/$6$ password hash. The flaw stems from how musl's crypt() handles overly long keys, returning '*' as an error that matches the no-password field. OpenSSH 10.6p2 fixes the issue in sshd, with details documented in its release notes; no CVE had been assigned at the time of writing.Alpine Linuxは、研究者Özgün Kültekin氏の報告に基づき、OpenSSH-serverにおけるパスワード認証バイパスの脆弱性に関するセキュリティ勧告を公開した。攻撃者がパスワード未設定（フィールドが「*」）のキー専用アカウント名を知っており、かつそのマシンに$5$または$6$のパスワードハッシュを持つ別アカウントが少なくとも1つ存在する場合、攻撃者は257〜1024バイトの長いパスワードを1回送信するだけでログインに成功する。原因はmuslのcrypt()が長すぎる鍵に対してエラーとして「*」を返し、これがパスワード未設定アカウントのフィールドと一致してしまうことにある。OpenSSH 10.6p2でsshd側が修正され、詳細は同バージョンのリリースノートに記載されている。執筆時点でCVE番号は割り当てられていなかった。

Why it matters何が変わるのか

Systems running Alpine's openssh-server without PAM (or with UsePAM no) and PasswordAuthentication enabled are exposed if they have both a key-only account and a password-protected account, a precondition that narrows but does not eliminate real-world risk.PAMを使わない（またはUsePAM noの）Alpine製openssh-serverを運用し、PasswordAuthenticationを有効にしている環境で、キー専用アカウントとパスワード付きアカウントが共存する場合に限り影響を受けるため、条件は限定的だが実際のリスクは残る。

What’s nextこれからの動き

Alpine advises admins to update OpenSSH and restart sshd immediately, or disable password logins by setting PasswordAuthentication no as an interim fix.Alpineは管理者に対し、直ちにOpenSSHを更新してsshdを再起動するか、暫定策としてPasswordAuthentication noを設定するよう呼びかけている。

Read the sources原典を読む

The marked texts informed this summary. Other links provide related coverage; a link is not independent verification.印のある記事本文を要約の材料にしています。ほかは関連情報です。リンクの数は独立した裏付けの数を意味しません。

Show 6 more source links残り6件の出典を見る

More in TechTechのほかの記事

Google · Archive photograph, 2013-05-25Google · 資料写真、2013-05-25 · Austin McKinley

Google to turn off AI by default for K-12 studentsGoogle、学校のAIを既定でオフに

57 linked sites関連57サイト

Waymo to end Uber exclusivity in Austin, Atlanta in 2028Waymo、ウーバー独占提携を2028年終了

14 linked sites関連14サイト

Apple Q4 revenue up 12% as iPhone Duo supply stays constrainedApple第4四半期増収、iPhone Duoは供給難続く

52 linked sites関連52サイト