La faille n'était pas due à OpenSSH. C'est le packager qui l'a introduit par erreur.

Donc en lisant le code de OpenSSH, impossible de détecter le problème ! Il eut fallu lire les patches apportés par le packager debian !