OpenSSH ha pubblicato urgentemente delle patch per una grave vulnerabilità di autenticazione, che consente agli aggressori di connettersi utilizzando password molto lunghe. Denominata SSHole e catalogata con l’identificativo CVE-2026-123158, con un punteggio CVSS di 8,1 (scala di misurazione della gravità delle vulnerabilità), interessa il server OpenSSH (sshd).
- OpenSSH pubblica patch urgenti per la vulnerabilità SSHole, con punteggio CVSS 8,1.
- Gli aggressori possono accedere a certi account con password tra 257 e 1.024 caratteri.
- Il difetto colpisce distribuzioni con musl libc e PAM disattivato, come Alpine, OpenWrt, Buildroot e Yocto.
- Le patch sono incluse in OpenSSH 10.6p2, e si consiglia di aggiornare o disattivare l’autenticazione tramite password.
Una confusione sulle password
Secondo la descrizione della vulnerabilità, il server SSH, che consente di connettersi da remoto a una macchina, riguarda solo le distribuzioni Linux che utilizzano la libreria musl libc e il cui modulo PAM (Pluggable Authentication Module, un componente incaricato di gestire l’autenticazione) è disattivato. Il difetto consiste in una « errata interpretazione » della questione se una stringa di caratteri sia destinata a essere un hash di password, cioè una versione codificata della password. In questo caso, gli aggressori possono accedere a determinati account con qualsiasi password compresa tra 257 e 1.024 caratteri.
Il problema riguarda in particolare account che non dovrebbero mai accettare una password, come l’account root, che amministra completamente un sistema. Tuttavia, in distribuzioni come Alpine, OpenWrt, Buildroot o Yocto, come menziona il ricercatore di sicurezza Özgün Kültekin, questi account accettano una password.
Lo sviluppatore di OpenSSH Damien Miller precisa che la vulnerabilità non si trova in sshd stesso, ma che può essere sfruttata tramite sshd. Le patch sono incluse nella versione OpenSSH 10.6p2.
Una pubblicazione accelerata
Damien Miller giustifica la rapidità della pubblicazione: « Pubbliciamo questa versione il più velocemente possibile (abbiamo scoperto il problema ieri) perché abbiamo recentemente osservato diversi casi di riscoperta rapida di bug da parte di agenti IA, a volte in poche ore. Consideriamo quindi che i lunghi periodi di embargo siano una pratica pericolosa, che avvantaggia principalmente gli aggressori. »
Da parte sua, Alpine Linux ha chiesto ai propri utenti di applicare immediatamente le patch di OpenSSH e di riavviare sshd, o di disattivare le connessioni tramite password e poi riavviare il servizio. La distribuzione precisa che un aggressore deve conoscere il nome di un account il cui campo password è « * », il che è normale per gli account accessibili solo tramite chiave, e che la macchina deve disporre di almeno un altro account con un hash di password che inizia con $5$ o $6$.
Alpine Linux indica che tutte le versioni controllate sono interessate, dalla 3.21 alla 3.24 così come il ramo edge, così come le versioni più vecchie che non ricevono più aggiornamenti regolari, dalla 3.16 alla 3.20. Sottolinea inoltre: « Un aggressore che può raggiungere la tua porta SSH può connettersi senza conoscere alcuna password. Basta una connessione, funziona ogni volta e non sono necessari nuovi tentativi. »
Un rischio di sfruttamento da monitorare
Alpine Linux indica di non aver ancora ricevuto segnalazioni di sfruttamento. Il cofondatore di Detectify e ricercatore capo in sicurezza Fredrik Almroth ritiene tuttavia che, essendo i dettagli pubblici e l’attacco semplice, una scansione potrebbe iniziare nelle ore successive. Ricorda che Shodan cataloga circa 22 milioni di sistemi con la porta SSH 22 aperta, una cifra che ritiene inferiore alla realtà, e che ogni tentativo richiede una sola connessione.
Jake Knott, responsabile dell’intelligence sulle minacce presso WatchTowr, giudica per parte sua « estremamente sorprendente » non vedere tentativi di attacco a forza bruta entro il fine settimana. Raccomanda, se possibile, di aggiornare all’ultima versione e, in attesa, di disattivare l’autenticazione tramite password.
