نشرت OpenSSH تصحيحات عاجلة لثغرة خطيرة في آلية المصادقة، تسمح للمهاجمين بالاتصال باستخدام كلمات مرور طويلة جدًا. تُدعى SSHole ومُدرجة تحت المعرف CVE-2026-123158، مع درجة CVSS تبلغ 8.1 (مقياس قياس شدة الثغرات الأمنية)، وهي تؤثر على خادم OpenSSH (sshd).
خلط في كلمات المرور
وفقًا لوصف الثغرة، فإن خادم SSH، الذي يسمح بالاتصال عن بُعد بجهاز، يؤثر فقط على توزيعات لينكس التي تستخدم مكتبة musl libc والتي يكون فيها وحدة PAM (وحدة المصادقة القابلة للإضافة، مكون مسؤول عن إدارة المصادقة) معطلة. يكمن العيب في « سوء تفسير » لمسألة ما إذا كانت سلسلة الأحرف مخصصة لتكون تجزئة لكلمة مرور، أي نسخة مشفرة من كلمة المرور. في هذه الحالة، يمكن للمهاجمين الوصول إلى حسابات معينة بأي كلمة مرور تحتوي على ما بين 257 و1024 حرفًا.
تتعلق المشكلة خصوصًا بالحسابات التي لا ينبغي أن تقبل كلمة مرور أبدًا، مثل حساب الجذر (root)، الذي يدير النظام بالكامل. ومع ذلك، في توزيعات مثل Alpine وOpenWrt وBuildroot أو Yocto، كما يذكر الباحث الأمني Özgün Kültekin، تقبل هذه الحسابات كلمة مرور.
يُوضح مطور OpenSSH Damien Miller أن الثغرة ليست في sshd نفسه، ولكن يمكن استغلالها عبر sshd. التصحيحات مُضمنة في الإصدار OpenSSH 10.6p2.
نشر مُسرّع
يبرر Damien Miller سرعة النشر: « ننشر هذا الإصدار بأسرع ما يمكن (اكتشفنا المشكلة أمس) لأننا لاحظنا مؤخرًا عدة حالات لإعادة اكتشاف سريع للأخطاء بواسطة وكلاء الذكاء الاصطناعي، أحيانًا في غضون ساعات قليلة. لذلك نعتبر أن فترات الحظر الطويلة ممارسة خطيرة، تفيد المهاجمين في المقام الأول. »
من جانبها، طلبت Alpine Linux من مستخدميها تطبيق تصحيحات OpenSSH فورًا وإعادة تشغيل sshd، أو تعطيل الاتصالات بكلمة المرور ثم إعادة تشغيل الخدمة. توضح التوزيعة أن المهاجم يجب أن يعرف اسم حساب يكون حقل كلمة المرور فيه « * »، وهو أمر طبيعي للحسابات التي يمكن الوصول إليها بالمفتاح فقط، وأن الجهاز يجب أن يحتوي على حساب آخر على الأقل بتجزئة كلمة مرور تبدأ بـ $5$ أو $6$.
تشير Alpine Linux إلى أن جميع الإصدارات التي تم فحصها متأثرة، من 3.21 إلى 3.24 وكذلك الفرع edge، وكذلك الإصدارات الأقدم التي لا تتلقى تحديثات منتظمة، من 3.16 إلى 3.20. وتؤكد أيضًا: « يمكن للمهاجم الذي يمكنه الوصول إلى منفذ SSH الخاص بك الاتصال دون معرفة أي كلمة مرور. يكفي اتصال واحد، وهذا يعمل في كل مرة ولا حاجة لمحاولات جديدة. »
خطر استغلال يتطلب المراقبة
تشير Alpine Linux إلى أنها لم تتلقَ بعد أي تقارير عن استغلال. ومع ذلك، يرى المؤسس المشارك لـ Detectify والباحث الأمني الرئيسي Fredrik Almroth أنه نظرًا لأن التفاصيل علنية والهجوم بسيط، فقد يبدأ المسح الضوئي في غضون الساعات القليلة القادمة. ويذكر أن Shodan يسجل حوالي 22 مليون نظام بمنفذ SSH 22 مفتوح، وهو رقم يراه أقل من الواقع، وأن كل محاولة تتطلب اتصالاً واحدًا فقط.
بدوره، يرى Jake Knott، مسؤول استخبارات التهديدات في WatchTowr، أنه « مفاجئ للغاية » ألا تُرى محاولات هجوم بالقوة الغاشمة بحلول نهاية الأسبوع. ويوصي، إن أمكن، بالترقية إلى أحدث إصدار، وفي الانتظار، بتعطيل المصادقة بكلمة المرور.
