알파인 리눅스 등 musl 환경의 SSH 서버에서 비밀번호로 로그인할 수 없어야 할 계정이 긴 비밀번호로 열릴 수 있다(sshhole.com)

- 알파인 리눅스나 OpenWrt처럼 musl이라는 기본 라이브러리를 쓰는 환경에서는, 원래 비밀번호로 들어올 수 없어야 하는 계정(예: 키로만 접속하는 계정)이 257자 이상 1024자 이하의 긴 비밀번호로 통과될 수 있다고 원문이 설명한다. - 원문 작성자는 musl의 crypt() 함수가 256바이트를 넘는 입력에서 실패할 때 비밀번호 칸의 *를 반환하는 구조가 원인이라고 분석한다. 이는 작성자의 분석이며, 원문 밖에서 확인된 내용은 아니다. - 원문 작성자는 glibc, musl, PAM 사용 여부 등 여러 조합으로 약 17,600건의 로그인 시도를 해봤더니 musl에서 PAM을 쓰지 않는 빌드만 잘못 허용했다고 밝힌다. 이 측정은 작성자가 직접 한 것이다. - 원문은 openssh 10.6p2 버전으로 업데이트하면 문제가 고쳐진다고 안내하고, 업데이트가 어려우면 비밀번호 로그인을 끄라고 권한다. 수정 버전의 정확성은 원문 밖에서 확인되지 않았다.