2026-11-06 Hacker News Top Stories
SuperTechFans · 科技资讯
2026-11-06 Hacker News Top Stories # Özgün Kültekin 披露 musl 与无 PAM 的 OpenSSH 组合存在认证绕过，错误返回值与账户标记“*”相撞，漏洞有明确配置前提。 Layer3 Intel 称，白宫所属 AS2650 在 30 天中有 26 天出现住宅代理出口，涉及 6 个地址、236 次观测和 28 家代理服务，但尚未定位设备。 Alpine 为 3.16 至 3.24 等分支回补 OpenSSH 认证绕过修复，强调升级后重启 sshd，未运行 SSH 的容器不在受影响范围内。 OpenAI 称，其 AI 安全管线验证了 948 个不同的 Linux 本地提权漏洞，消耗约 121 万美元 API 额度，生成的补丁仍须人工审查和上游接纳。 Go 1.27 将 encoding/json/v2 与 jsontext 转为稳定 API，默认拒绝非法 UTF-8 和重复键，部分反序列化基准最高提速 10 倍，旧 API 继续支持。 MarkBlah 的 Lemmings 用 CSS 绘制像素小人、用 JavaScript 驱动行走与碰撞，文字和按钮都能成为平台，还可拖拽、抛掷并随窗口缩放弹起。 OpenAI 发布 Images 2.6，称生成速度提升 50%，Flare 低质量档最快 6 秒，并增加 GIF、API 图像标注与 SVG 导出等创作功能。 Discord CTO 宣布客户端向 Rust 迁移，桌面端将移除 Electron、移动端保留原生 UI，早期 Windows 截图显示约 290MB 内存，尚无完整上线日期。 Ricursive 发布 Apache 2.0 开放权重 Ripple-65B Preview，使用 12 万亿 token 训练，TerminalBench 2.1 自报 80.52 分，完整研发成本称为 3,200 万美元。 《窗外的鸟》引用实验讨论 LED 较少招虫，但原作者已承认紫外线解释有误；“吸引较少”不能被改写成“昆虫不会在 LED 周围聚集”。 1. sshole：musl 与 OpenSSH 的旧兼容逻辑如何变成密码认证漏洞 (sshole) # https://sshhole.com 安全研究员 Özgün Kültekin 用时间线追溯一个由多项兼容措施叠加造成的 SSH 认证漏洞：Unix 长期用“ ”表示不能匹配正常密码的账户；musl 为避免调用方漏查空指针而在 crypt() 失败时返回“ ”；OpenSSH 为缓解用户名枚举的计时差异，又会为某些账户借用其他用户的盐值。超过 musl 密码长度限制后，错误标记可能与目标账户字段相等，错误地通过认证。 作者称，他构建 glibc、musl、PAM 与非 PAM 等不同组合，投入约 17,600 次异常登录测试，并借助 AI 代理发现行为差异。文章把问题追溯至 2016 年，说明安全问题可能藏在看似无关的库约定与历史修补之间，而不在加密算法本身。 受影响并非所有 Linux：需要 musl、未使用 PAM 的 sshd、开启密码认证、目标账户字段为“*”，且系统存在另一具有相应密码哈希的账户。默认使用 Dropbear 的设备不能仅因采用 musl 就算受影响。OpenSSH 10.6p2 已修复；关闭密码认证也是缓解方式。Alpine 官方公告进一步明确：更新包后必须重启 sshd，默认禁止 root 密码登录等配置仍会限制可利用范围。 HN 热度 2221 points | 评论 557 comments | 投稿者：josemrb | 发布时间：2026-11-05 20:19:02 +08:00 # https://news.ycombinator.com/item?id=50378228 问题来自 crypt() 的输入盐值与最终比较账户不再对应，不能只用“musl 返回星号”解释整条失效链。 把错误状态与有效数据放进同一种字符串表示，会让局部看似合理的兼容设计在组合后失去安全边界。 复现失败有时是因为安装到的包已包含修复，核对具体构建版本比只看发行版名称更可靠。 OpenWrt 默认使用的 Dropbear 与 OpenSSH 是不同实现，不能把发行版或 libc 名称直接当作受影响判据。 网络设备测试经验强调，超长密码和异常输入应属于基础验收项目，即使管理层要求加快发布也不能省略。 存在十年的代码也可能缺少对冷门配置的检验，“经过时间考验”不能替代针对组合条件的测试。 为掩盖调用方错误而加入静默兼容补丁，可能让原本明显的失败变成长期隐藏且更危险的行为。 2. 白宫所属网络发现住宅代理出口，具体设备与人员仍未知 (Residential proxies de