Alpine 安全公告：OpenSSH 密码认证可被绕过

📋 概述

Alpine 在 11 月 5 日发出的安全公告说得很直白：能连上 SSH 端口的人在不知道任何密码的情况下就能登录，一次连接即可成功，不需要重试。触发条件是两个常见配置凑在一起——机器上有一个密码字段为 * 的账号（只允许密钥登录的账号、基础镜像里的 root），并且至少还有一个账号带着 $5$ 或 $6$ 哈希；攻击者随后发送 257 到 1024 字节的超长密码。公告给了两条止损路径：升级 openssh 并重启 sshd（只升级软件包不会替换正在运行的守护进程），或者先把 PasswordAuthentication 设为 no。受影响范围是 3.21 到 3.24 与 edge，以及已经停止常规更新的 3.16 到 3.20；用 PAM 且 UsePAM yes 的部署不受影响，密码字段为 ! 的账号也不受影响。