AI 前沿 · 每日整理
Alpine Linux 爆出 OpenSSH 无密码登录漏洞：不用密码，一次就能登进去
Alpine Linux 11 月 5 日发布安全通告，确认 OpenSSH 服务器存在密码认证绕过漏洞：满足条件时一次连接就能无密码登录，而且每次都成功。根源在 musl 的 crypt() 函数：口令超过 256 字节时返回 *，恰好与无密码账号的存储字段相同，比对因此通过。影响 Alpine 3.16 至 3.24 及 edge 版本，修复包已发布，但升级后必须重启 sshd 才生效。
原文摘录
An attacker who can reach your SSH port can log in without knowing any password. It takes one connection, works every time, and needs no retries.（大意：能连上你 SSH 端口的攻击者，不用知道任何密码就能登录，一次连接就行，每次都成功，不用重试。）
值得肯定
修复包已发布，3.21.10、3.22.8、3.23.8、3.24.4 都有对应修复版，升级路径明确；触发条件写得非常清楚（非 PAM 构建、开密码登录、存在无密码账号、存在 $5$/$6$ 哈希账号），用户可以逐条自查自己在不在影响范围。
需要注意
影响版本跨度极大，从 3.16 到 3.24 及 edge 全中，老版本也在列；只升级软件包不够，必须手动重启 sshd，否则正在跑的旧进程还在用有漏洞的版本；tiny-cloud 镜像用户还可能被无密码 doas 提权到 root。