漏洞成因是两处独立实现的组合。sshd 在未启用 PAM 时自行比对口令：对口令字段为单个星号的账户，会借用其他账户的盐值以让失败登录耗时接近真实情况，这一行为源自 2016 年为缓解用户名枚举所做的改动；而 musl 的 crypt() 在遇到超过 256 字节的口令时会拒绝并返回星号作为错误标记，恰好与目标账户存储字段匹配，导致认证被放行。Alpine 指出触发区间为 257 至 1024 字节。

受影响需要同时满足多个条件：使用未启用 PAM 的 openssh-server、开启密码认证、存在口令字段为星号的账户，且另有账户使用 $5$ 或 $6$ 口令散列。非 Linux 系统、glibc 系统以及通过 PAM 做密码认证的系统不受影响；仅使用 Alpine 容器镜像但未运行 sshd 的环境也不受影响。Alpine 计划把修复回溯到 2022 年 5 月发布的 3.16，并提醒升级软件包后必须重启 sshd，否则旧进程仍在运行。

对企业 IT 而言，Alpine 大量存在于容器基础镜像、云主机镜像与嵌入式设备中，风险外溢到供应商侧。建议清点暴露 22 端口的 Alpine 及其他 musl 构建资产，优先关闭密码登录改用密钥，按官方指引升级并重启服务，同时检查日志中无口令账户出现“Accepted password”的记录，无法排除时按入侵处理。

来源：LWN，原文。