10년간 방치된 SSH 인증 우회 취약점 발견
Key Point
SSH 인증 메커니즘의 근본적인 결함이 10년간 방치된 이유와 그 과정을 이해하려면, 라이브러리 간 호환성 차이와 테스트 범위의 한계라는 구조적 문제를 알아야 한다.
핵심 요약
- 2016년부터 2026년까지 SSH 시스템에서 패스워드 프롬프트에 잘못된 값(예: SSH 키)을 붙여넣으면 인증을 우회할 수 있는 취약점이 존재했다.
- 새로 설정한 박스와 그래도우 파일의 '*' 항목은 영향을 받지 않으며, OpenSSH는 OpenBSD와 glibc에서만 테스트해 musl 라이브러리 환경에서는 발견되지 않았다.
- 대부분의 배포판이 PAM을 통해 인증하므로 crypt 함수를 직접 호출하지 않아, 이 취약점이 광범위하게 감지되지 않았다.