Alert GCSA-26309 - Vulnerabilita' in OpenSSH (SSHhole)

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 ****************************************************************** Alert ID: GCSA-26309 Data: 6 novembre 2026 Titolo: Vulnerabilita' in OpenSSH (SSHhole) ****************************************************************** :: Descrizione del problema E' stata rilasciata una nuova versione di OpenSSH per risolvere la seguente vulnerabilita' di livello "alto": CVE-2026-123158 (CVSS v3 Score 8.1) Quando si esegue il server SSH, utilizzando la libreria C standard musl, senza moduli di autenticazione pluggabili (PAM), il server puo' interpretare erroneamente le stringhe in input come hash di password. Un aggressore remoto e non autenticato puo' sfruttare la falla inviando una password appositamente dimensionata, aggirando l'autenticazione e ottenendo l'accesso agli account interessati. Questo problema richiede specificamente che OpenSSH venga compilato ed eseguito con la libreria musl C (musl libc) senza PAM abilitato. Tutti i prodotti che usano la GNU C Library (glibc) e utilizzano PAM non sono coinvolti. Un esempio di piattaforma che utilizza musl libc senza PAM e' Alpine Linux. Inoltre lo sfruttamento richiede l'abilitazione dell'autenticazione SSH tramite password e la presenza, sul sistema, di almeno un account per il quale l'accesso tramite password e' disabilitato e di un altro account le cui credenziali sono memorizzate sotto forma di hash SHA-256 crypt o SHA-512 crypt. Maggiori informazioni sono disponibili alla sezione "Riferimenti". :: Software interessato OpenSSH versioni precedenti alla 10.6p2 :: Impatto Bypass delle funzionalita' di sicurezza (SFB) :: Soluzioni Aggiornare OpenSSH alla versione piu' recente, o applicare le patch opportune. :: Riferimenti OpenSSH Release Notes https://www.openssh.org/txt/release-10.6p2 https://www.openssh.org/releasenotes.html#10.6p2 SSHhole https://sshhole.com/ Cyber Security News https://cybersecuritynews.com/openssh-flaw-bypass-password-authentication/ The Hacker News https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html Bleeping Computer https://www.bleepingcomputer.com/news/security/openssh-flaw-lets-attackers-log-into-password-disabled-linux-accounts/ CVE List https://www.cve.org/CVERecord?id=CVE-2026-123158 GARR CERT Security Alert - subscribe/unsubscribe: http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert -----BEGIN PGP SIGNATURE----- iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCau2IqwAKCRDBnEyTZRJg QmgGAJ4jkMTe8rOwkY+fY0xqMl86Jz+YOQCdEd17qBkZFPsTeKl+eGHbiGAonN0= =hamE -----END PGP SIGNATURE-----