OpenAI紅隊發現Brotli壓縮庫遠端執行漏洞 Node.js已發安全更新
OpenAI紅隊演練發現廣泛使用的Brotli壓縮庫存在無需身份驗證即可遠端執行程式碼的漏洞；Node.js其後發布安全更新，修復22.x、24.x及26.x受影響版本。
15 次瀏覽
科技 · 天神日報導讀
OpenSSH緊急修補Alpine超長密碼可繞過驗證漏洞
公開報道指，Alpine Linux於11月5日就OpenSSH發出緊急保安通告，指在使用musl函式庫、且未啟用PAM的sshd環境下，攻擊者只要知道一個密碼欄位為「*」的帳戶名稱，並輸入長度介乎257至1024位元組的超長密碼，便可在一次連線中繞過密碼驗證登入。
文章重點
- 事件：OpenSSH緊急修補Alpine超長密碼可繞過驗證漏洞
- 內容：公開報道指，Alpine Linux於2026年11月5日就OpenSSH發出緊急保安通告。在使用musl函式庫、且未啟用PAM的sshd環境下，攻擊者只要知道一個密碼欄位為「*」的帳戶名稱（常見於只允許金鑰登入的帳戶），並輸入長度介乎257至1024位元組的超長密碼，便可在一次連線中繞過密碼驗證登入。
- 來源：Alpine Linux
- 狀態：已由編輯部核實及整理發布
公開報道指，Alpine Linux於2026年11月5日就OpenSSH發出緊急保安通告。在使用musl函式庫、且未啟用PAM的sshd環境下，攻擊者只要知道一個密碼欄位為「*」的帳戶名稱（常見於只允許金鑰登入的帳戶），並輸入長度介乎257至1024位元組的超長密碼，便可在一次連線中繞過密碼驗證登入。
觸發條件
報道指，觸發條件還包括已開啟密碼登入，以及機上至少另有一個採用$5$或$6$雜湊的帳戶。Docker等未在容器內執行sshd的環境、已關閉密碼登入，或以openssh-server-pam並啟用UsePAM的系統，一般不受影響。
修補與緩解
OpenSSH已發布10.6p2作緊急修補；Alpine各支援版本亦已推出修正套件，並強調更新後須重啟sshd。暫未能更新者可先關閉密碼登入（PasswordAuthentication no），並在確認金鑰登入可用後重啟服務。詳情以Alpine及OpenSSH官方公布為準。
常見問題
誰最受影響？
公開報道指，主要影響以musl為基礎、未啟用PAM、並仍允許密碼登入的Alpine等環境。
不能即時更新怎麼辦？
報道建議先關閉密碼登入，並重啟sshd，待套件更新後再重啟服務。
## 參考資料
https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/
資料來源與編輯說明
本文由天神日報根據 Alpine Linux 公開資料重新整理及撰寫，並非原文轉載。 查看原始報道 →
本文由天神日報根據 Alpine Linux 公開資料重新整理及撰寫，並非原文轉載。 查看原始報道 →
