OpenSSH 10.6p2 - PAM 없는 Alpine의 심각한 보안 문제 우회 조치

Portable OpenSSH 10.6p2는 musl libc를 사용하고 PAM 지원 없이 빌드하고 실행한 일부 Linux 시스템에서 가능한 비밀번호 인증 우회를 sshd에서 차단함 OpenSSH 팀은 근본 원인이 sshd 외부에 있다고 판단하지만, sshd를 통해 악용할 수 있어 우회 조치를 추가함 AI가 찾은 보안 버그의 독립적인 재발견 사례를 고려해, 당분간 수정 사항을 정기 릴리스까지 모으지 않고 더 자주 배포하기로 함 scp -R 폐기 절차가 10.6부터 시작됨. 현재는 경고만 출력하지만, 향후에는 실행 호스트를 경유하는 기본 복사 방식으로 전환함 10.6 계열에는 압축 부채널 완화와 양자내성 서명 지원 변경도 있음. 압축 효율 저하와 기존 실험용 키 재생성 필요성 등 호환성 변화가 따름 10.6p2 보안 조치와 배포 주기 변경 Portable OpenSSH 10.6p2는 2026년 11월 5일 출시됐으며, 핵심 변경은 특정 Linux 환경의 비밀번호 인증 우회를 막는 조치임 HN 제목은 PAM 없는 Alpine을 지목하지만, 본문의 영향 조건은 musl libc 사용과 PAM 비활성화임 PAM 지원 없이 빌드하고 실행한 일부 시스템이 대상이며, 모든 Alpine 또는 Linux 환경으로 범위를 넓힐 수 없음 AI 관련 보안 제보 증가에 대응해 수정 배포 주기를 단축함 현실적인 위협 모델에서 보안 영향이 없는 제보도 많아, 사람이 분류하고 분석한 결과와 테스트 사례, 수정안이 함께 있는 제보를 특히 환영함 다른 연구자가 같은 버그를 독립적으로 재발견한 사례가 있어, 제보하지 않는 공격자도 이를 찾을 가능성을 고려함 10.6p2에는 V_10_6 안정 브랜치의 수정도 포함됨 ssh와 sshd가 ssh-mldsa44-ed25519 를 CA 서명 알고리듬으로 허용함 ChannelTimeout 사용 시 1초 미만 동안 CPU가 반복 실행되는 문제와 암호문구 입력 중 SIGINT/SIGQUIT 수신 시 이상 동작 등을 수정함 10.6 계열의 보안 및 호환성 변경 OpenSSH 10.6/10.6p1은 2026년 10월 6일 출시됐으며, 10.6p2의 긴급 우회 조치와 구분해야 하는 보안 및 호환성 변경을 포함함 scp -R 은 원격 호스트에서 scp를 실행하는 원격 간 복사 방식임 원격 호스트에 인증 정보가 필요하며, 원격 셸의 인용 규칙이 클라이언트 예상과 다르면 보안 위험이 있음 10.6부터 기능은 유지하면서 ...