-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheid verholpen in OpenSSH door OpenSSH Project
Advisory ID     : NCSC-2026-0469
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-123158
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Unexpected Status Code or Return Value
Uitgiftedatum   : 20261106
Toepassing      : OpenBSD OpenSSH
Versie(s)       :
Platform(s)     :

Beschrijving
   Het OpenSSH project heeft een kwetsbaarheid verholpen in sshd van
   OpenSSH versies ouder dan 10.6p2. De kwetsbaarheid treft Linux
   systemen die gebruikmaken van musl libc en waarop PAM niet wordt
   gebruikt.

   De kwetsbaarheid betreft een bypass van de SSH-
   wachtwoordauthenticatie bij gebruik van wachtwoorden met een lengte
   van 257 tot 1024 bytes. De oorzaak ligt in de interactie tussen de
   authenticatieafhandeling van OpenSSH (sshd) en de implementatie van
   crypt() in musl libc, in omgevingen waarin PAM niet wordt gebruikt.
   Hierdoor kan een aanvaller onder specifieke omstandigheden de
   wachtwoordverificatie omzeilen en mogelijk ongeautoriseerde toegang
   tot het systeem verkrijgen.
   Misbruik vereist dat aan meerdere voorwaarden wordt voldaan:
   - Het systeem draait Linux met musl libc, zoals Alpine Linux.
   - OpenSSH draait zonder PAM.
   - PasswordAuthentication is ingeschakeld.
   - Er is een account aanwezig met een * als password hash en minimaal
   één ander account met een geldige SHA-256 of SHA-512 password hash.
   De kwetsbaarheid is daarmee beperkt tot specifieke configuraties.
   Reguliere Debian en Ubuntu installaties, die gebruikmaken van glibc,
   vallen buiten het beschreven toepassingsgebied.
   Vanuit securityoogpunt wordt geadviseerd SSH-beheerdiensten niet
   rechtstreeks aan het internet bloot te stellen. Beperk de toegang
   waar mogelijk tot vertrouwde netwerken en schakel
   wachtwoordauthenticatie uit wanneer deze niet noodzakelijk is.

Mogelijke oplossingen
   OpenSSH Project heeft updates uitgebracht om de kwetsbaarheid te
   verhelpen. Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://www.openssh.org/releasenotes.html#10.6p2

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=ZWI6
-----END PGP SIGNATURE-----