Ich habe es geschafft, dies kurz nach dem Posten der Frage zu beheben.
Es stellt sich heraus, dass /etc/shadow
Einträge für die betroffenen MD5-Passwortbenutzer hatten irgendwie das Feld nach dem gehashten Passwort dupliziert, was dazu führte, dass PAM die Zeile nicht interpretieren konnte. Mit anderen Worten, ein schlechter Job zum Ausschneiden und Einfügen.
Ich habe noch nicht genug Kaffee getrunken...