proer

紧急提醒：OpenSSH 密码认证出现绕过漏洞，Alpine 和部分路由器用户请立即检查如果你有运行 Alpine Linux 的服务器、容器，或者使用 OpenWrt 等基于 musl 的系统，同时开启了 OpenSSH 远程��录，今天建议立刻检查一下。 OpenSSH 在 11 月 5 日发布了 10.6p2 安全更新，修复了一个可能��致密码认证被绕过的问题。官方将这次更新列为关键安全修复。OpenSSH 官方发布说明简单来说：在符合特定条件的系统上，攻击者可能绕过原本的密码认证，以受影响账户的身份登录。服务器一旦被登录，攻击者能做什么取决于该账户的权限；如果进入的是高权限账户，后果可能非常严重。 ⚠️ 哪些系统需要重点检查？根据 OpenSSH 的说明，这次问题涉及使用 musl libc、且 OpenSSH 在构建和运行时禁用 PAM 的部分 Linux 系统。建议优先检查：运行 Alpine Linux 的服务器、虚拟机和容器；使用 OpenSSH 服务端的 OpenWrt 或其他基于 musl 的设备；基于 Alpine 构建、对外提供 SSH 服务的镜像和应用；其他使用 musl、部署了 OpenSSH 服务端的嵌入式设备。尤其要注意对公网开放 SSH 的设备。内部网络中的设备也不要忽略，能��问 SSH 的人同样可能触及风险。不过，使用 Alpine 或 OpenWrt 不代表一定存在这个漏洞。是否受影响，还要看实际运行的是不是 OpenSSH 服务端、PAM 的构建和运行配置、认证方式，以及发行版是否已经回移植修复补丁。例如，不少 OpenWrt 设备使用的是 Dropbear，而不是 OpenSSH。不能因为它运行 OpenWrt，就直接判定本次 OpenSSH 问题一定可利用。 🔧 现在该怎么做？第一步：确认自己运行的是什么 SSH 服务。检查设备或容器里是否真的运行了 OpenSSH 的 sshd，别只看系统名称。容器镜像也需要单独检查：宿主机已经更新，不代表容器里的服务也更新了。第二步：尽快安装发行版或设备厂商提供的安全更新。 OpenSSH 上游已经发布 10.6p2。优先查看你所使用的发行版、路由器固件或设备厂商的安全公告，安装明确包含此次修复的版本。有些发行版会把补丁回移植到旧版本号，所��不能只凭版本号判断是否安全。升级软件包后，也要确认正在运行的服务已经重启并使用了修复后的程序；容器则需要重建或更新镜像并重新部署。第三步：暂时无法更新时，先收紧访问。如果目前无法立即安装修复，可以先通过防火墙、安全组或管理网络限制 SSH 的访问来源，避免服务直接暴露在公网。对于不需要 SSH 的设备，可以考虑临时关闭相关服务。如果准备关闭密码认证、切换密钥登录，请先确认密钥登录可用，并保留现有会话或控制台等备用入口，避免把自己锁在服务器外。修改后还要检查实际生效配置，以及是否存在其他认证入口。 🔍 已经对公网开放了怎么办？建议在完成更新的同时，检查近期 SSH 登录日志、异常来源 IP、可疑账户和授权密钥等。发现异常时，按照自己的应急流程处理，并结合具体情��审查凭据和主机状态。日志没有发现异常，也不能单独证明设备从未受到影响。如果这是重要生产系统，建议进一步做安全排查。这次事件的关键提醒是：不要只盯着系统名字，也不要以为密码足够复杂就一定安全。真正需要确认的是服务实现、构建配置、认证方式，以及补丁是否已经生效。目前公开细节仍在更新，涉及具体受影响版本和各发行版补丁状态，请以 OpenSSH 与对应厂商后续公告为准。参考资料： OpenSSH 10.6p2 官方发布说明漏洞披露网站：https://t.co/DFwOY9d97e