https://tube.the-morpheus.de/videos/watch/a788d744-6de8-417a-92ec-62964eec314d SSHhole (CVE-2026-123158) steckt seit 2016 in OpenSSH: Auf musl-Systemen wie Alpine nimmt ein Account, in dessen Passwortfeld nur ein Stern steht, unter den richtigen Bedingungen jedes Passwort mit 257 bis 1024 Byte an. [Werbung] Hier geht's zu unserem Partner TryHackMe: https://tryhackme.com/themorpheustutorials Mit meinem Code TMT bekommt ihr 25 % Rabatt auf Premium im Jahresabo. Bei TryHackMe hackt ihr im Browser selbst an Maschinen, die absichtlich verwundbar gebaut sind, und das ganz legal. Meldet euch an, der Einstieg ist kostenlos. Wer einen Angriff wie in dieser Folge selbst einordnen will, findet dort den Raum Cyber Kill Chain. Er ist leicht und gratis: Ihr geht die sieben Phasen eines Angriffs durch und setzt am Ende die Kette eines echten Einbruchs selbst zusammen. Mit Premium bekommt ihr weitere Räume, komplette Lernpfade und schnellere Maschinen. Quellen zum Video: https://sshhole.com/ https://github.com/dspinellis/unix-history-repo/blob/BSD-3/etc/passwd https://musl.libc.org/ https://alpinelinux.org/ https://hub.docker.com/_/alpine https://git.musl-libc.org/cgit/musl/commit/?id=b3c4cc121f70faea45389fe7ddc1127ed5cbd8bb https://git.musl-libc.org/cgit/musl/commit/?id=88bf5a8a8d7d796f63cca8589f4de67aa8345f1a https://git.musl-libc.org/cgit/musl/plain/src/crypt/crypt_sha512.c https://www.openssh.com/txt/release-7.3 https://lists.mindrot.org/pipermail/openssh-commits/2016-July/005428.html https://anongit.mindrot.org/openssh.git/tree/auth-passwd.c?h=V_10_6_P1 https://marc.info/?l=openssh-unix-dev&m=179388064263131&w=2 https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-123158 https://www.cve.org/CVERecord?id=CVE-2026-123158 https://www.openssh.com/releasenotes.html https://youtu.be/8Hr0ymVjb2A https://anongit.mindrot.org/openssh.git/commit/?id=4353fdc43ef646c43a8dda7025cc1a898caf1482 https://dl-cdn.alpinelinux.org/alpine/v3.24/main/x86_64/APKINDEX.tar.gz https://downloads.openwrt.org/releases/packages-24.10/x86_64/packages/Packages.gz https://man.openbsd.org/sshd_config https://manpages.debian.org/unstable/openssh-server/sshd_config.5.en.html MorphReader im PlayStore: https://play.google.com/store/apps/details?id=de.themorpheus.morph_reader_app&hl=de MorphReader im App Store: https://apps.apple.com/de/app/morphreader/id6741467699?platform=iphone Newsletter und RSS-Feeds: https://www.patreon.com/collection/880029?view=expanded Kostenlos Informatik lernen mit der Bootstrap Academy: https://bootstrap.academy/ https://github.com/Bootstrap-Academy/ Instagram: https://www.instagram.com/themorpheustuts/ Meine anderen Kanäle und Projekte: https://the-morpheus.de/ Discord: https://the-morpheus.de/discord.html Unterstützt mich – danke! https://www.patreon.com/user?u=5322110 https://www.paypal.me/TheMorpheus Kapitel: 00:00 Intro: Ein Passwortfeld mit nur einem Stern 00:42 Werbung: TryHackMe 01:02 Nachgebaut: Erst abgelehnt, dann drin 02:02 Grundlagen: Hash, Salt und der Stern 02:52 Entscheidung 1: musl gibt bei Fehlern einen Stern zurück 03:51 Entscheidung 2: Deckel bei 256 Byte 04:30 Entscheidung 3: OpenSSH leiht sich ein Salt 05:33 Zusammengesetzt: Stern gegen Stern 06:37 Das Fenster von 257 bis 1024 Byte 07:01 Wen das betrifft 08:10 Wie ernst das ist: Cloud-Images und CISA 08:47 Wer die Lücke gefunden hat 09:20 Warum der erste Versuch scheiterte 09:46 Der Fix im Code 10:34 Gefixte Pakete und Backports 11:08 Updaten, sshd neu starten, nur noch Keys 11:48 Werbung: TryHackMe 12:33 Schluss Sun, 15 Nov 2026 07:07:24 GMT https://validator.w3.org/feed/docs/rss2.html PeerTube - https://tube.the-morpheus.de https://tube.the-morpheus.de/client/assets/images/icons/icon-1500x1500.png https://tube.the-morpheus.de/videos/watch/a788d744-6de8-417a-92ec-62964eec314d All rights reserved, unless otherwise specified in the terms specified at https://tube.the-morpheus.de/about and potential licenses granted by each content's rightholder.