热点事件持续更新
musl crypt 哨兵值冲突致 Alpine sshd 认证风险
1 篇报道1 个报道来源4 小时前更新
先了解这件事
AI 综述
11月7日，Hacker News 首页报道，musl libc 的 crypt 函数自2012年起，对过长密码返回字符串“*”。这一返回值与 Unix 中以“*”表示锁定账户的旧约定发生冲突，导致无 PAM 的 musl 系统存在 sshd 认证风险；报道以官方 Alpine AWS 镜像为例，称未认证用户可获得 shell，权限可能为 root。作者指出，这并非内存安全漏洞，并讨论了 C 类型系统无法强制检查 NULL 返回值，以及 Rust 社区规范不允许此类带内哨兵值的问题。报道未提供修复或部署更新进展。
AI 根据报道生成 · 4 小时前更新
最新进展11月7日 06:34
新报道披露 crypt 的“*”返回值冲突可使无 PAM 的 Alpine 系统遭遇 sshd 认证绕过。报道时间线
沿着报道，了解事件的不同侧面。
11月7日
- Hacker News 首页musl libc 的 crypt 返回 "*" 哨兵值，导致 Alpine 上 sshd 可被未认证用户拿到（可能是 root）shell
musl libc 的 crypt 函数自 2012 年起对过长密码返回字符串 "*"，与 Unix 上 "*" 表示锁定账户的旧约定冲突，在无 PAM 的 musl 系统（如官方 Alpine AWS 镜像）上让未认证用户获得可能是 root 的 shell。作者指出这不是内存安全漏洞，C 类型系统无法强制检查 NULL 返回值，而 Rust 社区规范不允许这种 in-band 哨兵值。
本事件热度走势
当前热度 9·可比范围峰值 10（11月7日 08:00）·近 24 小时可比范围变化 –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。