Ariel Shatil

An OpenSSH bug that took 46 years to ripen! 1980 UNIX puts * in the password field of system accounts. The idea is simple: it’s not a real hash, so it can’t be brute-forced and you can’t log in with a password. 2012 The musl libc developers decide that returning NULL from crypt() on failure is dangerous - programs often forget to check it and crash with a segfault. So they return an error string instead. Guess which one? The same asterisk: *. Three weeks later they add a length limit: passwords longer than 256 bytes burn CPU. Anything longer is rejected. And since it’s an error, crypt() returns *. 2016 OpenSSH fixes a timing attack (CVE-2016-6210). If a user doesn’t exist, the server still hashes the password with a fake/borrowed salt so an attacker can’t tell valid usernames by response time. 2022 Alpine Linux changes the locked root password in /etc/shadow from ! to * so SSH keys work properly on cloud images. … and the loop closes! You connect over SSH as root (whose shadow entry is *). You type any password longer than 256 characters (e.g. 300 As). crypt() hits the length limit → returns * → OpenSSH compares it with the value in the database → that value is also * → you’re in as root. That chain took 46 years (!!!) to complete. Every individual change was reasonable. Together they produced a perfect * == * authentication bypass (CVE-2026-123158, nicknamed *sshole). Fixed in OpenSSH 10.6p2 and Alpine packages.

המתמטיקה פשוטה, 67>53 תקשיבו לד״ר טיבי:

בואו נדבר על הרעיון שהערבים בישראל הם מיעוט. יש נטייה להסתכל על האזרחים הערבים בישראל בקווי שביתת הנשק כמיעוט ואז לגזור השוואות ביזאריות ליהודים באירופה או לשחורים בארה״ב ומתוך כך לדבר על גזענות כנגד אותו מיעוט. אבל אם כבר, ההשוואה המתאימה יותר היא לדוברי הרוסית בלטביה או באוקראינה, שלא ללכת להיסטוריה יותר רחוקה של הגרמנים בצ׳כוסלובקיה - כלומר מיעוט אתני, שפתי, לאומי, בתוך מדינה קטנה יחסית ששייך ואף מזדהה עם אוכלוסיה או מדינה ענקית ששוכנת על גבולות המדינה הקטנה יותר וגם מערערת על עצם קיומה. הידעתם למשל שבלטביה, המפלגה המרכזית המייצגת את המיעוט הרוסי של כרבע מהאוכלוסייה תמיד נחשבה לא קבילה להיות שותפה בשלטון (למרות שהיא המפלגה הגדולה!) ולטביה מדורגת כאחת המדינות הדמוקרטיות בעולם? במשך השנים גיליתי שדווקא למשלחות שבאו מהמדינות הבלטיות לא היתה לי שום בעיה להסביר את יחסי יהודים ערבים בישראל. הם הבינו. בקיצור, מספיק עם ההשוואות בין המיעוט הערבי בישראל ליהודים באירופה או לשחורים בארה״ב. לכו על השוואה לרוסים בלטביה ותראו ישועות.

Minister Lapid: As someone who won a seat in Congress last night, and who cares about Israel: you’re not listening to what American voters – Jewish and non-Jewish – are saying. We aren’t starving for a barnstorming tour. We’re hungry to see respect for international law and human rights.