影响范围:基于 musl libc 的环境(alpine,openwrt)

AWS/Azure 的 alpine 镜像默认密码是 *

musl：自 2012 年起，其 crypt() 函数在执行失败时（输入超过 256 个字符）会返回 *，而非 NULL。由于 sshd 的检查逻辑未考虑到这一点，导致哈希计算失败的结果可能会与已锁定账户中的 * 字段相匹配。

升级到 OpenSSH 10.6p2 或更高版本是安全的。

主楼