有影儀表板

OpenSSH 緊急修補：密碼超過 256 位元組，沒設密碼的帳號反而能登入

fOx Hsiao · 發布於 2026/11/06 下午03:27 · 更新於 2026/11/07 上午01:55 · 台北時間 · 本頁的資料來源與計算方式 ⓘ

觀看數
224次
喜歡
11次
YouTube 留言總數
0則
長度
—
字幕狀態未確認
YouTube 原始影片 ↗比較影片標題用語

觀看數觀測

目前僅一筆觀測 ·
224次

共同標籤

已比對共同詞彙 · 24 個標籤 · 比對時間 2026/11/06 下午05:12

比對依據（44 處）
  1. 系統影片說明…x 等使用 musl、又沒接 PAM 的系統上，符合條件時送一組 257 到 1,0…
  2. 條件影片說明…musl、又沒接 PAM 的系統上，符合條件時送一組 257 到 1,024 位元組…
  3. 密碼影片說明…送一組 257 到 1,024 位元組的密碼，就能登入沒設密碼的帳號。 原因是不接…
  4. 密碼影片說明… 1,024 位元組的密碼，就能登入沒設密碼的帳號。 原因是不接 PAM 時，ss…
  5. 原因影片說明…元組的密碼，就能登入沒設密碼的帳號。 原因是不接 PAM 時，sshd 用 cry…
  6. 密碼影片說明…，sshd 用 crypt() 把輸入的密碼算成雜湊再比對；密碼欄只有米字號（*）的…
  7. 密碼影片說明…ypt() 把輸入的密碼算成雜湊再比對；密碼欄只有米字號（*）的帳號，sshd 會借…
  8. 密碼影片說明…rypt() 遇到超過 256 位元組的密碼會回傳字串「*」表示出錯，剛好跟這些帳號…
  9. 成功影片說明…錯，剛好跟這些帳號存的米字號相符，登入就成功了。 Alpine 公告列出的 4 個…
  10. 公告影片說明…號相符，登入就成功了。 Alpine 公告列出的 4 個條件要同時成立才會受影響，…
  11. 條件影片說明…了。 Alpine 公告列出的 4 個條件要同時成立才會受影響，包括用不含 PAM…
  12. 成立影片說明…lpine 公告列出的 4 個條件要同時成立才會受影響，包括用不含 PAM 的 op…
  13. 影響影片說明… 公告列出的 4 個條件要同時成立才會受影響，包括用不含 PAM 的 openssh…
  14. 密碼影片說明…erver（或設 UsePAM no）、密碼登入開著、有密碼欄是米字號的帳號、至少一…
  15. 密碼影片說明… UsePAM no）、密碼登入開著、有密碼欄是米字號的帳號、至少一個帳號有 $5$…
  16. 密碼影片說明…號、至少一個帳號有 $5$ 或 $6$ 密碼雜湊。部分官方 tiny-cloud 雲…
  17. 雲端影片說明…碼雜湊。部分官方 tiny-cloud 雲端映像的 alpine 帳號還能免密碼用 …
  18. 密碼影片說明…d 雲端映像的 alpine 帳號還能免密碼用 doas 切成 root。Debia…
  19. 影響影片說明…Fedora 等 glibc 發行版不受影響。 Alpine 已回補修正版到 3.…
  20. 密碼影片說明…更新後要重啟 sshd；不能更新就先關掉密碼登入。漏洞已編為 CVE-2026-12…
  21. 2026影片說明…新就先關掉密碼登入。漏洞已編為 CVE-2026-123158，目前公開資料沒有遭實際利…
  22. 公開影片說明…為 CVE-2026-123158，目前公開資料沒有遭實際利用的回報。 ．瞬變三角…
  23. 實際影片說明…026-123158，目前公開資料沒有遭實際利用的回報。 ．瞬變三角支架 MOVA…
  24. 2026影片說明…OpenSSH 10.6p2 發布說明（2026/11/5）：https://www.o…
  25. 安全影片說明…10.6p2 Alpine Linux 安全公告（2026/11/5）：https:…
  26. 公告影片說明….6p2 Alpine Linux 安全公告（2026/11/5）：https://…
  27. 2026影片說明…2 Alpine Linux 安全公告（2026/11/5）：https://alpin…
  28. The影片說明…ttps://sshhole.com/ The Hacker News（2026/11…
  29. News影片說明…ole.com/ The Hacker News（2026/11/5）：https://…
  30. 2026影片說明…om/ The Hacker News（2026/11/5）：https://theha…
  31. 紀錄影片說明…flaw.html musl 原始碼提交紀錄 b3c4cc12 與 88bf5a8a…
  32. 密碼影片說明…f5a8a（2012 年）；3BSD 的密碼檔（GitHub 上的 Unix 歷史程…
  33. GitHub影片說明…a（2012 年）；3BSD 的密碼檔（GitHub 上的 Unix 歷史程式庫） 畫面來…
  34. 歷史影片說明…的密碼檔（GitHub 上的 Unix 歷史程式庫） 畫面來源 金庫門、雜湊機、骨…
  35. 程式影片說明…碼檔（GitHub 上的 Unix 歷史程式庫） 畫面來源 金庫門、雜湊機、骨牌等…
  36. 3D影片說明…） 畫面來源 金庫門、雜湊機、骨牌等 3D 畫面與動畫為本頻道自製的比喻畫面。Op…
  37. 畫面影片說明…畫面來源 金庫門、雜湊機、骨牌等 3D 畫面與動畫為本頻道自製的比喻畫面。OpenS…
  38. 動畫影片說明…源 金庫門、雜湊機、骨牌等 3D 畫面與動畫為本頻道自製的比喻畫面。OpenSSH、…
  39. 畫面影片說明…牌等 3D 畫面與動畫為本頻道自製的比喻畫面。OpenSSH、Alpine 公告與 …
  40. 公告影片說明…比喻畫面。OpenSSH、Alpine 公告與 musl、3BSD 原始碼頁面截圖，…
  41. 報導影片說明…musl、3BSD 原始碼頁面截圖，作為報導評論之合理引用。 訂閱電子報《狐說八道…
  42. 評論影片說明…sl、3BSD 原始碼頁面截圖，作為報導評論之合理引用。 訂閱電子報《狐說八道》 …
  43. 密碼影片標題OpenSSH 緊急修補：密碼超過 256 位元組，沒設密碼的帳號反而…
  44. 密碼影片標題…緊急修補：密碼超過 256 位元組，沒設密碼的帳號反而能登入
比對版本

youtube-quality-20261017-a

影片說明

OpenSSH 在 11 月 5 日發布 10.6p2 緊急修補。在 Alpine Linux 等使用 musl、又沒接 PAM 的系統上，符合條件時送一組 257 到 1,024 位元組的密碼，就能登入沒設密碼的帳號。 原因是不接 PAM 時，sshd 用 crypt() 把輸入的密碼算成雜湊再比對；密碼欄只有米字號（*）的帳號，sshd 會借另一個帳號的鹽來算。musl 的 crypt() 遇到超過 256 位元組的密碼會回傳字串「*」表示出錯，剛好跟這些帳號存的米字號相符，登入就成功了。 Alpine 公告列出的 4 個條件要同時成立才會受影響，包括用不含 PAM 的 openssh-server（或設 UsePAM no）、密碼登入開著、有密碼欄是米字號的帳號、至少一個帳號有 $5$ 或 $6$ 密碼雜湊。部分官方 tiny-cloud 雲端映像的 alpine 帳號還能免密碼用 doas 切成 root。Debian、Ubuntu、Fedora 等 glibc 發行版不受影響。 Alpine 已回補修正版到 3.16，更新後要重啟 sshd；不能更新就先關掉密碼登入。漏洞已編為 CVE-2026-123158，目前公開資料沒有遭實際利用的回報。 ．瞬變三角支架 MOVAS™ 輕量版 https://pse.is/9qllmz ．四合一瞬變三角支架 https://pse.is/9qllp4 ．靈動漂浮支架 MOVAS™ 附殼版 https://pse.is/9qllq4 #資安 #OpenSSH #AlpineLinux 主要來源 OpenSSH 10.6p2 發布說明（2026/11/5）：https://www.openssh.com/txt/release-10.6p2 Alpine Linux 安全公告（2026/11/5）：https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ 發現者 Özgün Kültekin（Wakefield）說明頁：https://sshhole.com/ The Hacker News（2026/11/5）：https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html musl 原始碼提交紀錄 b3c4cc12 與 88bf5a8a（2012 年）；3BSD 的密碼檔（GitHub 上的 Unix 歷史程式庫） 畫面來源 金庫門、雜湊機、骨牌等 3D 畫面與動畫為本頻道自製的比喻畫面。OpenSSH、Alpine 公告與 musl、3BSD 原始碼頁面截圖，作為報導評論之合理引用。 訂閱電子報《狐說八道》 https://anduril.tw

本頁的資料來源與計算方式

影片的數字

公開統計
觀看、喜歡與留言總數是取得當時的 YouTube 公開統計，不是即時數值；各項統計的觀測時間可能不同。「資料最後記錄」是影片資料的記錄時間，不代表觀看、喜歡或留言都在那時重新觀測。
觀看歷史
圖上每個點是實際儲存的觀測，連線只為方便閱讀，不代表中間時間的測量值；沒有歷史觀測時不建立時間序列。
喜歡占互動
喜歡 ÷（喜歡＋不喜歡＋顯示留言），任一來源缺值時不估算。
字幕
只記錄來源是否提供字幕，尚未擷取逐字稿，因此字幕不列入標籤比對。
觀測分析
直播逐時／逐日最高同時在線取自所讀直播紀錄；讀取上限、略過與解析失敗的筆數列在「資料涵蓋範圍與解析限制」。

共同標籤

標籤來源：新文易數（tag.observe.tw）。共同標籤以文字比對影片標題與說明，不是 AI 判讀；命中不代表事件歸屬或立場，與頻道分類分開。標題或說明出現標籤，不代表影片主題；可能來自固定宣傳或版權文字。字幕尚未取得，不列入比對。

比對範圍
僅列出目前詞彙版本與影片標題、說明仍相符的比對結果；待比對或來源文字已變動的影片不列入，數量見「收錄與比對範圍」。
期間
「往前 N 日」包含今天與前 N 天，共 N+1 個台北日曆日（往前 7 日為 8 個日曆日）；指定起訖日期時以實際起訖日為準。日數、日期與小時條件同時套用。
命中片段
每支影片最多顯示 3 段，標示來自標題、說明或字幕；沒有片段時顯示「沒有命中片段」，來源文字缺漏時顯示「來源文字未提供」，不另行補寫。完整比對依據在影片頁的「共同標籤與比對依據」。
顯示排除
符合標籤顯示規則的詞（上游排除詞、雜訊、純數字或日期、長度不符，以及核定的來源或平台名稱、雙字通用詞、國家城市政黨詞、少數 YouTube 平台或宣傳用語）整詞不列入排行，但仍保留在原始詞彙池與比對證據中；原始詞彙池列出排除原因。雙字通用詞只依核定清單判定，包含它們的人名、事件或具體議題不會因此被排除。管理員也可以在排行上直接排除個別標籤，同樣只影響排行顯示，每次排除與恢復都留有紀錄。
說明欄樣板
同一頻道說明欄反覆出現的宣傳段落不列入比對。「24小時」這類詞只在這種重複宣傳段落中略過，出現在一般新聞內容時照常計入；這不同於整詞的顯示排除。
示例
列表與片段只是符合條件的影片例子，不能用來推算整體比例或全站失真程度；有效比對的影片比例只代表比對完成度。
觀看
累計觀看是取得當時的公開觀測值，不是期間增量；無觀看值的影片不當作 0。

本頁資料範圍

觀看數與互動數為取得當時的公開觀測值。

時間序列只有一筆有效觀測時，只列出該值與觀測時間，不畫走勢圖；累積兩筆以上才畫圖。

資料來源

本站以納入名單的 YouTube 頻道與影片為範圍（名單見頻道觀測），數據來自 YouTube 公開資料與定時觀測：直播約每分鐘輪詢一次，頻道統計、新影片與影片統計則分批輪流更新，所以同一頁的數字不一定在同一時間取得。不涵蓋全 YouTube；缺漏、尚未收錄或資料服務中斷都不等於零，尚未取得的數值顯示「—」。

頁面使用台北時間（UTC+8）。「更新於」是來源已記錄的觀測時間；來源沒有記錄時顯示「未記錄」，不以開啟網頁的時間代替。

共同標籤詞彙的標籤來源：新文易數（tag.observe.tw），保留來源、版本與比對依據；本站的頻道分類沿用有影儀表板的來源組織方式，與內容標籤是不同維度。影片數、觀看數與直播同時在線人數分開計算，不代表 YouTube 全站流量，也不表示因果關係。

完整的資料來源與計算方式 →