OpenSSH kļūdu Alpine Linux serveros uzbrucēji izmanto dažu stundu laikā pēc atklāšanas

OpenSSH izstrādātāji 5. novembrī izlaida versiju 10.6p2, kas novērš kritisku paroles pārbaudes apiešanas kļūdu Linux sistēmās, kuras izmanto musl C bibliotēku un darbojas bez PAM autentifikācijas moduļiem. Kļūda reģistrēta kā CVE-2026-123158 un ieguvusi iesauku „sshole”. Drošības uzņēmumi ziņo, ka uzbrucēji to sāka izmantot jau dažas stundas pēc publiskošanas.

Visvairāk skarta ir Alpine Linux, kuras standarta openssh-server pakotne ir veidota bez PAM, bet paroles pieteikšanās pēc noklusējuma ir ieslēgta. Pētnieki aicina pārbaudīt arī citas musl sistēmas, piemēram, OpenWrt, kā arī Buildroot un Yocto būvējumus. Alpine plaši izmanto konteineru attēlos, tāpēc problēma var skart arī daudzus Docker konteinerus.

Uzbrukumam vajadzīgs konts, kura paroles laukā ir tikai zvaigznīte, kas parasti nozīmē, ka parole nav iestatīta, piemēram, lietotājiem, kas pieslēdzas tikai ar SSH atslēgām. Tāpat sistēmā jābūt vismaz vienam citam kontam ar īstu paroles jaucējvērtību. Ja uzbrucējs nosūta 257 līdz 1024 baitus garu paroli, musl funkcija crypt() kļūdas gadījumā atgriež zvaigznīti, un tā sakrīt ar konta paroles lauku, tāpēc pieteikšanās izdodas.

Pētnieki norāda, ka Alpine oficiālajos AWS un Azure attēlos noklusējuma lietotājs alpine ir tieši šāds konts un ar doas var izpildīt komandas root tiesībās bez paroles. Šādos serveros kļūda var novest pie pilnas kontroles pār sistēmu. OpenSSH komanda uzskata, ka problēmas pamatcēlonis ir ārpus sshd, taču to izlaboja OpenSSH, jo tieši tur kļūdu var izmantot.

Drošības pētnieki ziņo, ka pirmie uzbrukuma mēģinājumi slazda serverī jeb tā sauktajā medus podā tika reģistrēti jau dažas stundas pēc kļūdas publiskošanas. Uzbrucējs no vienas IP adreses, izmantojot pārāk garas paroles, ieguva root piekļuvi šim serverim un izpildīja izlūkošanas komandas, piemēram, lai noskaidrotu sistēmas un lietotāja datus.

Alpine tajā pašā dienā izlaida laboto pakotni visiem atbalstītajiem zariem no 3.16 līdz edge. Administratoriem jāatjaunina openssh un pēc tam jāpārstartē sshd, jo pakotnes atjaunināšana jau strādājošo procesu nenomaina. Ja atjaunināt uzreiz nav iespējams, kļūdu pilnībā novērš paroles pieteikšanās izslēgšana ar iestatījumu PasswordAuthentication no.