OpenSSH hat dringend Patches gegen eine schwerwiegende Authentifizierungslücke veröffentlicht, die es Angreifern ermöglicht, sich mit sehr langen Passwörtern anzumelden. Die als SSHole bezeichnete Schwachstelle, gelistet unter der Kennung CVE-2026-123158 mit einem CVSS-Score von 8,1 (Skala zur Bewertung der Schwere von Sicherheitslücken), betrifft den OpenSSH-Server (sshd).
- Die Lücke „SSHole“ erlaubt Angreifern, sich mit sehr langen Passwörtern anzumelden.
- Betroffen sind nur Linux-Systeme mit musl libc, bei denen PAM deaktiviert ist.
- OpenSSH 10.6p2 enthält die Patches, Nutzer sollten sofort aktualisieren oder Passwort-Authentifizierung deaktivieren.
- Experten erwarten bald Scans und Angriffe, da für jeden Versuch eine einzige Verbindung genügt.
Eine Verwirrung bei Passwörtern
Laut der Beschreibung der Schwachstelle betrifft der SSH-Server, der den Fernzugriff auf einen Rechner ermöglicht, ausschließlich Linux-Distributionen, die die Bibliothek musl libc verwenden und bei denen das PAM-Modul (Pluggable Authentication Module, eine Komponente zur Authentifizierungsverwaltung) deaktiviert ist. Der Fehler beruht auf einer « Fehlinterpretation » der Frage, ob eine Zeichenkette als Passwort-Hash gedacht ist, also eine verschlüsselte Version des Passworts. In diesem Fall können Angreifer auf bestimmte Konten mit jedem beliebigen Passwort zugreifen, das zwischen 257 und 1.024 Zeichen lang ist.
Das Problem betrifft insbesondere Konten, die niemals ein Passwort akzeptieren sollten, wie das Root-Konto, das ein System vollständig verwaltet. In Distributionen wie Alpine, OpenWrt, Buildroot oder Yocto, so der Sicherheitsforscher Özgün Kültekin, akzeptieren diese Konten jedoch ein Passwort.
Der OpenSSH-Entwickler Damien Miller präzisiert, dass die Schwachstelle nicht in sshd selbst liegt, aber über sshd ausgenutzt werden kann. Die Patches sind in der Version OpenSSH 10.6p2 enthalten.
Eine beschleunigte Veröffentlichung
Damien Miller begründet die schnelle Veröffentlichung: « Wir veröffentlichen diese Version so schnell wie möglich (wir haben das Problem gestern entdeckt), weil wir kürzlich mehrere Fälle einer schnellen Wiederentdeckung von Fehlern durch KI-Agenten beobachtet haben, manchmal innerhalb weniger Stunden. Wir halten daher lange Embargofristen für eine gefährliche Praxis, die hauptsächlich Angreifern nützt. »
Alpine Linux seinerseits hat seine Nutzer aufgefordert, die OpenSSH-Patches sofort anzuwenden und sshd neu zu starten oder Passwort-Authentifizierung zu deaktivieren und dann den Dienst neu zu starten. Die Distribution präzisiert, dass ein Angreifer den Namen eines Kontos kennen muss, dessen Passwortfeld « * » ist, was für nur per Schlüssel zugängliche Konten normal ist, und dass der Rechner mindestens ein weiteres Konto mit einem Passwort-Hash haben muss, der mit $5$ oder $6$ beginnt.
Alpine Linux gibt an, dass alle geprüften Versionen betroffen sind, von 3.21 bis 3.24 sowie der Edge-Zweig, ebenso wie ältere Versionen, die keine regelmäßigen Updates mehr erhalten, von 3.16 bis 3.20. Sie betont auch: « Ein Angreifer, der Ihren SSH-Port erreichen kann, kann sich anmelden, ohne irgendein Passwort zu kennen. Eine einzige Verbindung genügt, es funktioniert jedes Mal und kein erneuter Versuch ist nötig. »
Ein Ausnutzungsrisiko im Blick behalten
Alpine Linux gibt an, noch keine Meldungen über Ausnutzungen erhalten zu haben. Der Mitgründer von Detectify und leitende Sicherheitsforscher Fredrik Almroth schätzt jedoch, dass angesichts öffentlicher Details und einfacher Angriffsmethode ein Scanning innerhalb weniger Stunden beginnen könnte. Er erinnert daran, dass Shodan etwa 22 Millionen Systeme mit offenem SSH-Port 22 auflistet, eine Zahl, die er für niedriger als die Realität hält, und dass jeder Versuch nur eine einzige Verbindung benötigt.
Jake Knott, Threat Intelligence Lead bei WatchTowr, hält es seinerseits für « extrem überraschend », wenn bis zum Wochenende keine Brute-Force-Angriffsversuche zu sehen wären. Er empfiehlt, wenn möglich, auf die neueste Version zu aktualisieren und in der Zwischenzeit die Passwort-Authentifizierung zu deaktivieren.
