#openssh

LinuxのSSHログインは、鍵認証を使っていれば安全、という感覚を持ちやすい。ところが今回の話は、その前提をかなり嫌な形で崩している。musl libc を使う環境の OpenSSH で、2016年から一部の「本来はパスワードを受け付けないアカウント」に、長い文字列なら通ってしまう穴があったという。しかも Alpine Linux だけでなく、OpenWrt、Buildroot、Yocto、そして多くの Docker イメージにも関係する話だ。単なる珍しいバグではなく、普段の運用に紛れ込んで見逃されやすいタイプの不具合として読むべきだと思う。 元記事が伝えているのは、OpenSSH が musl Linux 上で動いているとき、ある条件のアカウントに対して「長いパスワード入力」が誤って受け入れられていた、という話だ。対象は root、鍵認証だけにしている deploy 用ユーザー、LDAP ユーザー、そして Alpine の AWS/Azure 公式イメージにあるデフォルトユーザーのように、そもそも通常のパスワードログインを想定していないアカウントだ。記事によれば、こうしたアカウント