🔍 Contexte

Publié le 6 novembre 2026 sur Ars Technica par Dan Goodin, cet article décrit la divulgation publique d’une vulnérabilité critique vieille d’une décennie affectant des systèmes Linux utilisant une combinaison spécifique de composants logiciels.

🐛 Description de la vulnérabilité

La vulnérabilité, nommée *sshole par son découvreur, réside dans l’interaction entre OpenSSH et musl (alternative légère à libc), lorsque PAM (Pluggable Authentication Modules) n’est pas utilisé. Elle est particulièrement présente sur Alpine Linux, distribution légère très répandue.

Conditions nécessaires à l’exploitation :

  • Le système utilise OpenSSH avec musl sans PAM
  • Au moins un compte utilisateur dispose d’un mot de passe haché en SHA256 ou SHA512
  • Le compte cible est sans mot de passe (champ * dans /etc/shadow)

⚡ Mécanisme d’exploitation

Lorsque toutes les conditions sont réunies, un attaquant peut se connecter à un compte sans mot de passe en saisissant plus de 256 caractères dans le champ mot de passe. Selon les mainteneurs d’Alpine : “Il suffit d’une connexion, ça fonctionne à chaque fois, sans aucune tentative supplémentaire.”

Selon Checkpoint :

  • L’utilisation de SHA256/SHA512 est nécessaire car sshd emprunte le salt de ce compte
  • Le compte doit être actif
  • Les comptes root sont protégés par défaut via PermitRootLogin prohibit-password, mais les comptes avec droits doas ou sudo restent exploitables pour une élévation de privilèges

🎯 Périmètre d’impact

  • Alpine Linux (image Docker Hub : +1 milliard de téléchargements)
  • Routeurs, smart TVs, contrôleurs industriels, appareils embarqués
  • Serveurs, desktops, images de conteneurs
  • OpenWRT potentiellement affecté (utilise Dropbear par défaut, non OpenSSH)
  • Packages buildroot et yocto mentionnés mais non confirmés
  • Selon Detectify/Shodan : ~22 millions de systèmes avec SSH ouvert sur le port 22

🔧 Responsabilité et correctifs

  • OpenSSH a publié une mise à jour, considérant la cause racine hors de sshd mais exploitable via sshd
  • musl (Rich Felker) ne considère pas cela comme un bug musl mais un usage erroné par l’appelant ; des changements sont prévus
  • Alpine Linux a également publié un correctif
  • Aucun identifiant CVE n’est encore attribué

📰 Nature de l’article

Article de presse spécialisée à visée informative, décrivant la divulgation publique d’une vulnérabilité critique avec analyse technique des conditions d’exploitation et du périmètre d’impact.

🧠 TTPs et IOCs détectés

TTP

  • T1078 — Valid Accounts (Initial Access)
  • T1110 — Brute Force (Credential Access)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)

IOC

  • Chemins : /etc/shadow

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 66/100 (haute)

  • ✅ arstechnica.com — source reconnue (liste interne) (20pts)
  • ✅ 6429 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 3 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://arstechnica.com/security/2026/11/vulnerability-allows-attackers-to-log-into-some-linux-devices-sans-password/