Contexte de la version 10.6p2

Le 5 novembre 2026, l’équipe OpenSSH a publié la version portable 10.6p2, disponible sur les miroirs officiels. Cette mise à jour intervient après une vague de rapports de vulnérabilités générés par des modèles d’IA, dont la plupart ont été jugés non exploitables dans un scénario réaliste. Malgré cela, le projet a choisi d’accélérer le rythme des releases afin d’intégrer rapidement les correctifs, comme indiqué dans les notes de version. La version conserve la conformité complète au protocole SSH 2.0 et les fonctionnalités SFTP client/serveur.

Contournement de la faille d’authentification avec PAM désactivé

Le point central de 10.6p2 est un contournement de sécurité destiné aux systèmes Linux utilisant la libc musl et où le module PAM est désactivé. Un bug de contournement d’authentification par mot de passe, signalé par Özgün Kültekin (Wakefield), permettait à un attaquant d’obtenir un accès sans mot de passe via sshd. L’analyse indique que la cause première réside en dehors du code de sshd, mais que l’interaction avec le processus d’authentification le rend exploitable. La correction consiste à désactiver le chemin d’authentification vulnérable lorsque la compilation se fait sans support PAM, éliminant ainsi la porte d’entrée sans impacter les configurations PAM‑actives.

Corrections et améliorations complémentaires

Outre le contournement, la release introduit plusieurs correctifs. Le schéma de signature post‑quantique ssh‑mldsa44‑ed25519 est désormais accepté comme algorithme CA, renforçant la résistance aux futures menaces cryptographiques. Un problème de CPU spin de moins d’une seconde, observé lorsque l’option ChannelTimeout était activée, a été résolu, réduisant la charge processeur inutile. Au niveau de la portabilité, des correctifs ciblent les plateformes anciennes : prise en charge de SKIP_PRIVDROP, détection correcte des locales azerbaïdjanaises, création de sockets d’agent sur les systèmes dépourvus de l’appel openat(2), et gestion fiable des signaux SIGINT/SIGQUIT pendant la lecture d’une phrase de passe. Le sandbox seccomp autorise désormais restart_syscall(2) (bz4036), élargissant les possibilités de confinement.

Dépréciations futures et impact sur les plateformes anciennes

Les notes annoncent deux dépréciations majeures. Le drapeau -R de scp, utilisé pour les copies « remote‑to‑remote », émettra désormais un avertissement et sera ignoré dans une version ultérieure, car il impose la transmission de crédentials et crée des risques de mauvaise interprétation des guillemets shell. De plus, le support des systèmes qui ne permettent pas le passage de descripteurs de fichiers et qui exigent les privilèges root pour l’allocation de PTY (ex. : SCO OpenServer 5, QNX 6) sera retiré, à moins que la communauté ne propose des alternatives. Ces changements visent à simplifier le code base et à éliminer des chemins d’exécution peu testés.

SHA1   (openssh-10.6p2.tar.gz) = c91a0b7860c80f29db874044af4d1a6f906231d9
SHA256 (openssh-10.6p2.tar.gz) = muRIcgkM8vBrPPn/FH5/FvMJZxNAdj7S+ZJIOYrinVs=