Откриен е безбедносен пропуст во одредени Linux системи што користат musl libc, при кој внесување лозинка подолга од 256 бајти може да овозможи пристап до сметки за кои вообичаено не е дозволена автентикација со лозинка. Пропустот е наречен *sshole и е поврзан со специфична комбинација од musl и OpenSSH.

Ризикот не ги засега сите Linux инсталации. Системот мора да користи musl наместо вообичаената GNU C библиотека, SSH серверот да работи без PAM, да е вклучена најава со лозинка и да постои барем една сметка со валиден хаш на лозинка. Дополнително, целната сметка треба да има ѕвездичка во полето за лозинка, што најчесто се користи за сметки кои не треба да прифаќаат лозинка.

Во таква поставеност, лозинка со должина од 257 до 1.024 знаци може да доведе до погрешно совпаѓање при проверката на лозинката. Така би можеле да бидат засегнати root сметки, корисници наменети само за пристап со клучеви, како и LDAP корисници, доколку ги исполнуваат наведените услови. Директната најава како root и понатаму зависи и од поставките на OpenSSH серверот.

Причината е во различното однесување на функцијата crypt() при неуспех. Кај некои системи таа може да врати празна вредност, додека musl во одредени случаи враќа еден знак — ѕвездичка. Musl истовремено ограничува лозинки на 256 бајти. Во комбинација со механизам што OpenSSH го вовел во 2016 година за да не се открива дали одредено корисничко име постои, ова создава можност за заобиколување на очекуваната проверка.

Пропустот е особено релевантен за Alpine Linux, каде musl е стандардна C библиотека. Alpine нуди и официјални cloud слики за AWS и Azure, па одредени инсталации во тие средини би можеле да бидат изложени, зависно од нивната SSH конфигурација. Musl често се користи и кај вградени Linux системи поради помалиот отпечаток.

Заштита е достапна со OpenSSH 10.6p2 или понова верзија. Кај системи каде надградбата не е веднаш можна, препораката е да се исклучи автентикацијата со лозинка и да се рестартира SSH сервисот. Нема наведени информации дека пропустот бил искористен во реални напади.