2026/11/05 21:19

SSH ホール

## Japanese Translation: musl ベースの Linux 分布（Alpine、OpenWrt、Buildroot、Yocto など）に実装されている OpenSSH は、パスワード認証が有効化されていながら PAM が使用されていない環境におけるシステムで重大なセキュリティ欠陥を有しています。この脆弱性により、攻撃者が 256 文字を超える長さのパスワードを提供した場合、`/etc/shadow` ファイル内で `*` を設定したアカウント（例：root、LDAP ユーザーなど）に対するパスワードチェックを回避できます。この問題は、musl ライブラリの認証失敗処理に関する 2012 年の変更および、256 バイトを超える無権限な入力に対するハッシュ検証の特定の動作に起因しています。新規で既存のパスワードのないシステムには影響はありませんが、これらの分布を運用する組織は、アカウント乗っ取りの重大なリスクに直面しています。この即座の脅威に対処するためには、管理者は OpenSSH バージョン 10.6p2 にアップグレードするか、あるいは完全にパスワード認証を無効化する必要があります。なお、この脆弱性は主に PAM が利用されていない環境に影響を与えるものであり、PAM を使用している場合、標準的なハンドリングによりこの特定の攻撃ベクトルを防ぐ可能性があります。この問題に対処しないことは、以前に誤設定されたアカウントに関連した主要なインシデントと同程度の不正アクセスにつながりかねません。

2026/11/06 7:17

Claude Code がメールアドレスをウェブサイトへ送信します

## Japanese Translation: キーポイントリストは、未特定の実事件に対する複数の個人からの一連の反応から構成されています。氏名が記載されている人物には、Klughertz、Jonathan、Netkas、Sebastian Hooker、ryanlsmith、Tyler Coffman、InventorBlack、TacoDevs、Luis Diaz、Dan Avery、wei が含まれており、その他に 27 名の反応もあるとの注記があります。 ## Text to translate The Key Points List consists of a series of reactions from various individuals to an unspecified event. The named figures include Klughertz, Jonathan, Netkas, Sebastian Hooker, ryanlsmith, Tyler Coffman, InventorBlack, TacoDevs, Luis Diaz, Dan Avery, and wei, along with a note that 27 others also reacted.

2026/11/05 23:44

アルパイン Linux セキュリティ情報：OpenSSH サーバーパスワード認証バイパスの脆弱性

## Japanese Translation: OpenSSH の重大なセキュリティ欠陥は、Alpine Linux リリース 3.16 から 3.24、および旧版のサポート終了済みエディションに影響し、デフォルトのクラウドイメージや標準のキーのみユーザーも含まれます。この脆弱性により、PAM を使用せずにシステムが構築されている場合（`UsePAM no`）で、「*」（または空欄/非常に長いパスワードフィールド）を持つアカウントと、少なくとも SHA-256 (`$5`) または SHA-512 (`$6`) を使用する 1 つのアカウントがペアになっている場合、攻撃者はパスワードなしでログインできます。根本原因は、保存されたパスワードフィールドが短すぎる場合、システムが別のアカウントの塩（salt）を再利用する論理エラーであり、これにより `crypt()` 関数が空のパスワードフィールドに対して攻撃者が提供する長い文字列を誤って一致させることになります。この攻撃は単一の接続で、最小限のネットワークトラフィックで成功します。 影響を受けるシステムには、PAM を使用せずに `openssh-server` または `openssh-server-pam` を実行するものがあり、`UsePAM yes`、パスワード認証が無効化されている（`PasswordAuthentication no`）、またはアカウントがロックされている（`/etc/shadow` の「!」）システムは影響を受けません。脆弱なユーザーには通常、「root」アカウント（ログインが許可されている場合）、`adduser` または `usermod -p '*'` で作成されたキーのみユーザー、`musl-nscd` を通じてディレクトリサービスから来るユーザー、および公式の tiny-cloud イメージ内の `alpine` ユーザーが含まれます。 組織は即座に脆弱なパッケージをパッチ適用済みバージョン（edge では `10.6_p2-r0`、stable ブランチでは特定のリリース；例：3.16 用は `9.0_p1-r6` から 3.24/edge 用までの `10.6_p2-r0`）にアップグレードする必要があります。アップデートが不可能な場合、管理者は `/etc/ssh/sshd_config.d/00-no-passwords.conf` を作成し、`/etc/ssh/sshd_config` を修正してパスワード認証を無効化し、`sshd` を再起動するべきです。専門家らは、`root` アカウントを侵害される前に積極的な搾取試みを検出するために、システムログ（例：`/var/log/messages`）を監視し、「Accepted password」のエントリを確認することを推奨しています。この脆弱性は OpenSSH 10.6p2 で修正され、stable ブランチにバックポートされました。報告当時、CVE ID は割り当てられていませんでした。クレジットは Özgün Kültekin（発見者）、Damien Miller と Darren Tucker（修正/リリース）、Timo Teräs（分析）、Natanael Copa（パッケージビルド）にいきます。