OpenSSH 10.6p2 긴급 공개, musl 인증 우회 수정 · 게시판

OpenSSH가 지난 11월 5일 10.6p2를 긴급 배포했습니다. musl libc를 쓰면서 PAM을 끈 채로 빌드한 리눅스에서 sshd 비밀번호 인증을 우회할 수 있는 결함 CVE-2026-123158을 막기 위한 릴리스로, CVSS 점수는 8.1입니다. 별칭은 sshole입니다. 알파인(Alpine) 리눅스가 대표적이고 OpenWrt, Buildroot, Yocto로 만든 이미지도 영향권에 들어갑니다.

릴리스 노트는 결함의 근본 원인을 sshd 바깥에 있다고 보면서도 sshd를 통해 악용될 수 있어 여기서 막는다고만 밝혔습니다. SecurityWeek는 어떤 문자열이 비밀번호 해시인지에 대한 오해석이 원인이라고 전했는데, 두 소스 모두 musl crypt()의 반환값이나 코드 수정 지점 같은 내부 동작은 공개하지 않았습니다. 공개된 조건은 257자에서 1024자 사이의 비밀번호를 보냈을 때 우회가 성립한다는 점입니다.

즉시 올리기 어렵다면 알파인 측 권고대로 sshd에서 비밀번호 인증을 꺼두는 임시 조치가 가능합니다.

# 패키지 갱신 후 재시작
apk upgrade openssh
rc-service sshd restart

# 또는 임시로 비밀번호 인증 차단
# /etc/ssh/sshd_config
PasswordAuthentication no

컨테이너 베이스 이미지로 알파인을 쓰는 곳이 많아 영향 범위를 한 번씩 점검해볼 만합니다. root 로그인을 열어둔 적 없다고 넘길 게 아니라, PAM 없이 musl로 빌드한 환경이라면 비밀번호 인증을 켜둔 계정이 통로가 될 수 있는지 확인하는 편이 안전합니다. OpenSSH 개발자 데미언 밀러는 어제 문제를 접하고 최대한 빨리 릴리스했다며, 최근 AI 에이전트가 수 시간 안에 버그를 재발견하는 사례가 늘어 긴 엠바고가 공격자에게만 유리하다고 판단했다고 밝혔습니다. 결함을 보고한 사람은 Wakefield(wakefield.co)의 외즈균 퀼테킨(Ozgun Kultekin)입니다.

🔗 https://www.openssh.org/txt/release-10.6p2

🔗 https://www.securityweek.com/openssh-rushes-patches-for-sshole-authentication-bypass/