Alpine 3.16 到 3.24 的使用者，今天先把 OpenSSH 更新到 10.6p2，不然別人輸入一串超長密碼，就可能登入你那些本來不該接受密碼的帳號。

這個漏洞叫 *sshole，是 OpenSSH 的密碼驗證繞過問題。電腦王阿達整理的說法是：攻擊者在 Alpine Linux 上輸入特定長度的密碼，就能登入沒有密碼的帳號。Alpine 3.16 至 3.24 版本已經推出修補，OpenSSH 本身也在 10.6p2 修掉了。 反直覺的地方是成因。這不是某個人寫了一行明顯的爛程式碼。根據報導，問題出在兩件事交疊：musl libc 的 crypt() 在錯誤處理上的行為，加上 OpenSSH 過去某次修補留下的副作用。兩邊單獨看，各自都有自己的理由。 比喻的話，像一間房有兩道門閂，各自裝得都沒問題，但兩道同時鎖上的時候，剛好會把鑰匙孔卡死，讓人從旁邊的縫鑽進去。你拿其中任何一道去做 code review，都會得到「看起來沒事」。 所以「我們有定期審核 OpenSSH」這句話，擋不住這種洞。審核 OpenSSH 的人看的是 OpenSSH，維護 musl 的人看的是 musl，而漏洞住在兩者的接縫上。Alpine 又是容器映像常用的基底，這個接縫會被包進很多人沒仔細看過的環境裡。 同一天，OpenAI 發表了專為資安設計的 GPT-6 Cyber，主打能自動偵測系統漏洞並開發修復方案，而且經過訓練，執行任務時會限制在授權範圍內。這類工具要對付的，就包括 *sshole 這種跨元件的組合型問題。以上純屬我的推測：素材沒說 GPT-6 Cyber 能不能抓到這種洞，而它能不能抓，會比跑分更能看出這個產品有沒有料。 如果你的服務跑在 Alpine 上，現在去查 sshd 版本比看完這篇更要緊。 接下來資安團隊要比的，大概會是誰看得懂兩個元件之間的縫，而不是誰把單一元件看得最熟。