OpenSSH 10.6p2: verificar sistemas musl sem perder o acesso SSH

Atualizado em 8 de novembro de 2026. O Portable OpenSSH 10.6p2 foi lançado em 5 de novembro com uma medida crítica contra um possível desvio da autenticação por palavra-passe em determinados sistemas Linux com musl e sem PAM. Este guia ajuda administradores a verificar a exposição e a atualização sem perder o acesso. Não resulta de um teste próprio do produto ou de ataque. [1]

Que sistemas devem ser verificados?

Importa o servidor OpenSSH realmente em execução, não apenas a distribuição. O aviso musl identifica OpenSSH anterior a 10.6p2 com UsePAM=no e PasswordAuthentication=yes; também é preciso considerar compilações sem suporte PAM. Alpine é um exemplo, não uma lista completa. O responsável pelo OpenSSH exclui desta falha específica sistemas não Linux, Linux com glibc e sistemas que usam PAM na autenticação por palavra-passe. O aviso musl exclui Dropbear. Isto não é uma garantia geral de segurança. [2] [4]

Requisitos e recuperação preparada

São necessários acesso administrativo autorizado, documentação do pacote/imagem e uma consola ou recuperação independente do SSH. Mantenha uma sessão existente aberta, mas não a considere uma recuperação garantida. Proteja cópias da configuração, incluindo ficheiros incluídos, versões e material de recuperação; nunca copie chaves privadas do servidor para pedidos de suporte ou conversas. Em appliances, use firmware suportado, não substituições avulsas de executáveis.

Cinco passos para um estado verificado

  1. Faça o inventário: identifique pacote do servidor, libc, suporte PAM e serviço ativo através dos registos de pacotes, avisos do fornecedor e metadados da imagem. ssh -V mostra o cliente local, não o servidor. Quando disponível, sshd -V identifica o executável invocado, não prova qual ficheiro o processo ativo utiliza. Avalie correções retroportadas pelo aviso do fornecedor, não apenas pelo número da versão. [3]
  2. Leia a configuração efetiva: com o executável correto e o ficheiro realmente usado pelo serviço, utilize sshd -t para verificar configuração/chaves e sshd -T para obter definições efetivas, respeitando privilégios e caminhos. Para regras Match, forneça parâmetros -C adequados segundo o manual instalado. Analise em conjunto compilação PAM, UsePAM e autenticação por palavra-passe. Uma configuração válida não comprova a correção da falha. [3]
  3. Atue urgentemente se a combinação for afetada: o aviso musl recomenda PasswordAuthentication no como medida provisória. Primeiro confirme acesso por chave numa nova sessão separada e acesso à consola de recuperação. Depois altere a configuração efetiva de forma controlada, valide-a e reinicie o serviço segundo o fornecedor. Sem acesso seguro, não altere às cegas: recorra à consola/responsáveis ou limite a exposição pelo procedimento de emergência autorizado. Não ative PAM ou outros métodos por tentativa. [2] [4]
  4. Instale a correção do fornecedor: use o pacote/imagem aprovado para o sistema ou appliance, com a medida de 10.6p2 ou um backport documentado, obtido de fonte fiável. Prepare recuperação e janela de manutenção; atualize também o serviço em execução conforme as instruções. Evite repositórios alheios, sobrepor uma compilação manual ou desativar globalmente proteções como atalho.
  5. Volte a ligar e valide: numa ligação nova, teste autenticação por chave, privilégios administrativos necessários e fluxos SFTP/automação relevantes. Reveja pacote/imagem, regras efetivas e registos; não é necessário tentar explorar a falha. Feche a sessão original só depois da validação. Se houver problemas, restaure o estado protegido pela consola; não deixe permanentemente um serviço vulnerável com palavras-passe novamente exposto.

Como confirmar o resultado

A tarefa termina quando a correção documentada está ativa no serviço e novas ligações e fluxos funcionam. Um pacote instalado, um banner ou uma sessão antiga aberta não bastam. Se desativou temporariamente palavras-passe, só considere reativá-las após confirmar a correção e obter aprovação operacional. Manter apenas chaves pode ser adequado, mas constitui outra decisão de segurança.

Limites e fontes

Este guia não altera servidores automaticamente nem substitui o aviso da distribuição ou aprovação local. Uma versão antiga pode conter um backport; nem todo o equipamento musl executa OpenSSH. Esclareça compilações e correções incertas com o fornecedor e priorize a contenção. Não se afirma uma associação CVE universal, deteção de ataques ou migração já realizada.