Kerngegevens
- Leverancier
- OpenSSH
- Product
- OpenSSH
- Soort software
- basissoftware
- Getroffen versies
- OpenSSH alle versies vóór 10.6p2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- OpenSSH (portable) 10.6p2 Release notes 10.6p2 (5 nov 2026) (opent in een nieuw venster)
- CVE gepubliceerd
- 5 november 2026
- Gepubliceerd op LekkenRadar
- 5 november 2026
- Laatst gewijzigd bij NVD
- 5 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In sshd, de SSH-server van OpenSSH ouder dan 10.6p2, zit een fout in de wachtwoordcontrole; die is opgelost in OpenSSH 10.6p2. De fout treedt op op Linux-systemen met musl libc zonder PAM. Bij sommige accountinstellingen wordt dan elk wachtwoord van tussen de 256 en 1024 tekens geaccepteerd. Een aanvaller kan hierdoor mogelijk inloggen zonder het echte wachtwoord te kennen.
Wie loopt risico?
Je loopt risico als je OpenSSH vóór versie 10.6p2 draait op Linux met musl libc zonder PAM. Alpine Linux is een voorbeeld van zo'n platform. Het gaat om systemen waarop wachtwoordinlog via SSH aanstaat en die via het netwerk bereikbaar zijn. De fout werkt alleen bij sommige accountinstellingen, en de aanval is volgens de beoordeling niet de makkelijkste.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| OpenSSH (portable)Meestal via de updates van je Linux-distributie, zoals Alpine | 10.6p2 | Release notes 10.6p2 (5 nov 2026) (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer of je systeem getroffen is
Kijk na of je OpenSSH gebruikt op Linux met musl libc zonder PAM, zoals Alpine Linux. Controleer ook welke versie van OpenSSH er draait. Versies vóór 10.6p2 zijn getroffen.
Werk OpenSSH bij
Installeer OpenSSH 10.6p2, waarin het lek is opgelost. Gebruik hiervoor de updates van je distributie of het overzicht met updates op deze pagina.
Beperk tijdelijk de blootstelling
Kun je nog niet bijwerken, volg dan het advies van de leverancier en zorg dat SSH niet onnodig vanaf internet bereikbaar is. Beperk de toegang bijvoorbeeld tot vertrouwde netwerken.
Controleer je logboeken
Kijk in de logboeken van sshd of er verdachte of geslaagde inlogpogingen zijn geweest, zeker met opvallend lange wachtwoorden.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
In sshd van OpenSSH vóór 10.6p2 ontbreekt op Linux met musl libc zonder PAM een workaround voor een omzeiling van de wachtwoordauthenticatie. Het probleem hangt samen met een verkeerde interpretatie van de vraag of een tekenreeks bedoeld is als wachtwoordhash. Bij sommige accountconfiguraties levert dit op dat elk wachtwoord van 256 tot 1024 tekens slaagt. De kwetsbaarheid is via het netwerk te misbruiken zonder inloggegevens of gebruikersinteractie en heeft een hoge aanvalscomplexiteit. De zwakte is ingedeeld als CWE-394 en de oplossing zit in OpenSSH 10.6p2.
CVSS-vector (versie 3.1, basisscore 8,1, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-394 · Onverwachte statuscode of returnwaarde
- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee