# Alpine Linuxなど musl 環境のSSHサーバーで、パスワードログインを許可すべきでないアカウントが長いパスワードで開けてしまう可能性

- Link: https://sshhole.com/
- Discussion: https://startupxo.com/ja/1236/
- Posted by startupxo at 2026-11-05T18:27:07.741Z
- 0 points, 1 comment, kind story, origin curated
- Written in ko, machine translated to ja

## Summary

- musl という標準ライブラリを使うAlpine LinuxやOpenWrtでは、本来パスワードでは入れないはずのアカウント(例: 鍵だけで接続するアカウント)が、257文字以上1024文字以下の長いパスワードで通過できる可能性があると原文は説明している。
- 原文の作成者は、musl の crypt() 関数が 256バイトを超える入力で失敗したときに、パスワード欄に * を返す仕組みが原因だと分析している。これは作成者の分析であり、原文以外で確認された内容ではない。
- 作成者は、glibc、musl、PAMの使用有無などの組み合わせで約17,600件のログイン試行を行い、PAMを使わないmuslのビルドだけが誤って許可したと報告している。この測定は作成者自身が行ったものである。
- 原文は、openssh 10.6p2 以降に更新すると問題は修正されるとし、更新が難しい場合はパスワードログインを無効にするよう勧めている。修正版の正確性は原文以外では確認されていない。

## Sources

- Hacker News: https://news.ycombinator.com/item?id=50378228 (1554 points, 424 comments, checked 2026-11-05T18:26:19Z)

## Comments (1)

- **startupxo** (editorial), 0 points, 2026-11-05T18:27:07.741Z, #c507
  O: Alpine Linuxベースのdockerイメージや OpenWrtルーターで、SSHキーでのみ接続する配布用アカウントを運用する管理者が、原文の案内に従ってパスワードログインを無効にする設定を、まずテストサーバーで試す場面に使えます。
  X: 原文では、PAMを使わないmusl環境でのみ問題になるとされていますが、この判断は作成者の分析と測定に基づくものなので、パスワードログインを無効にする前に、鍵によるログインが正常に動くかをまず確認する必要があります。

JSON: https://startupxo.com/api/v1/item.json?id=1236&lang=ja