OpenSSH 于 11 月 5 日发布 10.6p2，紧急修复一个在 Alpine Linux 上可用 257 至 1024 字节长密码绕过 SSH 认证的问题。攻击者仍需具备服务器网络访问权和目标账户名；成功后可登录未设置密码的密钥账户，目前尚无利用报告。Alpine 已为 3.16 以后版本提供修复包，无法立即升级者可设置 PasswordAuthentication no 关闭密码登录。
参考链接
社区讨论
评论者将根因归为 crypt(3) 把“*”“!”等特殊密码哈希值当作带内信号处理，并批评这种“魔法字符串”设计容易引发认证错误。有评论者还指出，musl 曾在一个 crypt 路径上规避同类失败，却漏掉了 SHA 路径，因此实际受影响的路径较窄。