OpenSSH heeft spoedpatches uitgebracht tegen een ernstig authenticatielek, waarmee aanvallers kunnen inloggen door zeer lange wachtwoorden te gebruiken. Het lek, genaamd SSHole en geregistreerd onder de identifier CVE-2026-123158 met een CVSS-score van 8,1 (schaal voor het meten van de ernst van kwetsbaarheden), treft de OpenSSH-server (sshd).
- OpenSSH brengt spoedpatches uit voor het lek SSHole, waarmee aanvallers inloggen met zeer lange wachtwoorden.
- Het lek treft Linux-distributies met musl libc en uitgeschakelde PAM, vooral accounts zoals root.
- Alpine Linux adviseert direct patchen of wachtwoordauthenticatie uitschakelen.
- Experts verwachten snelle scans en aanvallen, dus snel handelen is nodig.
Verwarring over wachtwoorden
Volgens de beschrijving van het lek treft de SSH-server, die gebruikt wordt om op afstand verbinding te maken met een machine, alleen Linux-distributies die de bibliotheek musl libc gebruiken en waarbij de PAM-module (Pluggable Authentication Module, een component voor authenticatiebeheer) is uitgeschakeld. Het defect houdt verband met een « verkeerde interpretatie » van de vraag of een tekenreeks bedoeld is als een wachtwoordhash, een gecodeerde versie van het wachtwoord. In dit geval kunnen aanvallers toegang krijgen tot bepaalde accounts met elk wachtwoord tussen 257 en 1024 tekens.
Het probleem betreft met name accounts die nooit een wachtwoord zouden moeten accepteren, zoals het root-account dat een systeem volledig beheert. In distributies zoals Alpine, OpenWrt, Buildroot of Yocto, zo merkt beveiligingsonderzoeker Özgün Kültekin op, accepteren deze accounts echter wel een wachtwoord.
De ontwikkelaar van OpenSSH, Damien Miller, preciseert dat het lek niet in sshd zelf zit, maar dat het via sshd kan worden uitgebuit. De patches zijn opgenomen in versie OpenSSH 10.6p2.
Een versnelde publicatie
Damien Miller motiveert de snelheid van de publicatie: « We brengen deze versie zo snel mogelijk uit (we ontdekten het probleem gisteren) omdat we recentelijk verschillende gevallen hebben gezien van snelle herontdekking van bugs door AI-agenten, soms binnen enkele uren. We beschouwen daarom lange embargo-periodes als een gevaarlijke praktijk die vooral aanvallers ten goede komt. »
Alpine Linux heeft zijn gebruikers gevraagd om onmiddellijk de OpenSSH-patches toe te passen en sshd opnieuw op te starten, of om wachtwoordauthenticatie uit te schakelen en vervolgens de service te herstarten. De distributie preciseert dat een aanvaller de naam moet kennen van een account waarvan het wachtwoordveld « * » is, wat normaal is voor accounts die alleen via een sleutel toegankelijk zijn, en dat de machine ten minste één ander account moet hebben met een wachtwoordhash die begint met $5$ of $6$.
Alpine Linux geeft aan dat alle gecontroleerde versies zijn getroffen, van 3.21 tot 3.24 evenals de edge-tak, evenals oudere versies die geen reguliere updates meer ontvangen, van 3.16 tot 3.20. Het benadrukt ook: « Een aanvaller die uw SSH-poort kan bereiken, kan inloggen zonder enig wachtwoord te kennen. Er is slechts één verbinding nodig, het werkt elke keer en er zijn geen nieuwe pogingen nodig. »
Een uitbuitingsrisico om in de gaten te houden
Alpine Linux zegt nog geen meldingen van uitbuiting te hebben ontvangen. De medeoprichter van Detectify en senior beveiligingsonderzoeker Fredrik Almroth is echter van mening dat, aangezien de details openbaar zijn en de aanval eenvoudig, er binnen enkele uren scans kunnen beginnen. Hij herinnert eraan dat Shodan ongeveer 22 miljoen systemen met SSH-poort 22 open telt, een cijfer dat hij lager inschat dan de realiteit, en dat elke poging slechts één verbinding vereist.
Jake Knott, hoofd threat intelligence bij WatchTowr, vindt het voor zijn part « extreem verrassend » als er tegen het weekend geen brute force-aanvallen worden geprobeerd. Hij raadt aan, indien mogelijk, bij te werken naar de nieuwste versie en in afwachting daarvan wachtwoordauthenticatie uit te schakelen.
