OpenSSH opublikował w trybie pilnym poprawki na poważną lukę w uwierzytelnianiu, która pozwala atakującym na logowanie przy użyciu bardzo długich haseł. Nazwana SSHole i oznaczona identyfikatorem CVE-2026-123158, z wynikiem CVSS 8,1 (skala oceny ciężkości luk), dotyka serwera OpenSSH (sshd).
- OpenSSH wydał pilne łatki na lukę SSHole, która pozwala logować się przy użyciu bardzo długich haseł.
- Luka dotyczy wyłącznie systemów Linux z biblioteką musl libc i wyłączonym modułem PAM, na przykład Alpine czy OpenWrt.
- Atakujący może uzyskać dostęp do kont, takich jak root, jednym połączeniem, bez znajomości hasła.
- Użytkownicy powinni zainstalować OpenSSH 10.6p2 lub wyłączyć logowanie hasłem i ponownie uruchomić sshd.
Zamieszanie dotyczące haseł
Zgodnie z opisem luki, serwer SSH, który umożliwia zdalne łączenie się z maszyną, dotyczy wyłącznie dystrybucji Linuksa korzystających z biblioteki musl libc i mających wyłączony moduł PAM (Pluggable Authentication Module, komponent odpowiedzialny za zarządzanie uwierzytelnianiem). Błąd wynika z « błędnej interpretacji » kwestii, czy ciąg znaków ma być hashem hasła, czyli zakodowaną wersją hasła. W tym przypadku atakujący mogą uzyskać dostęp do niektórych kont za pomocą dowolnego hasła zawierającego od 257 do 1024 znaków.
Problem dotyczy w szczególności kont, które nigdy nie powinny akceptować hasła, takich jak konto root, które w pełni administruje systemem. Jednak w dystrybucjach takich jak Alpine, OpenWrt, Buildroot czy Yocto, jak zauważa badacz bezpieczeństwa Özgün Kültekin, te konta akceptują hasło.
Deweloper OpenSSH Damien Miller wyjaśnia, że luka nie znajduje się w samym sshd, ale może zostać wykorzystana poprzez sshd. Łaty są zawarte w wersji OpenSSH 10.6p2.
Przyspieszona publikacja
Damien Miller uzasadnia szybkość publikacji: « Publikujemy tę wersję tak szybko, jak to możliwe (odkryliśmy problem wczoraj), ponieważ ostatnio zaobserwowaliśmy kilka przypadków szybkiego ponownego odkrywania błędów przez agentów AI, czasami w ciągu kilku godzin. Uważamy zatem, że długie okresy embarga są niebezpieczną praktyką, która głównie przynosi korzyści atakującym. »
Z kolei Alpine Linux zaapelował do swoich użytkowników o natychmiastowe zastosowanie łatek OpenSSH i ponowne uruchomienie sshd lub wyłączenie logowania za pomocą hasła, a następnie ponowne uruchomienie usługi. Dystrybucja precyzuje, że atakujący musi znać nazwę konta, którego pole hasła ma wartość « * », co jest normalne dla kont dostępnych wyłącznie przez klucz, oraz że maszyna musi mieć przynajmniej jedno inne konto z hashem hasła zaczynającym się od $5$ lub $6$.
Alpine Linux wskazuje, że dotknięte są wszystkie sprawdzane wersje, od 3.21 do 3.24 oraz gałąź edge, podobnie jak starsze wersje, które nie otrzymują już regularnych aktualizacji, od 3.16 do 3.20. Podkreśla również: « Atakujący, który może dotrzeć do twojego portu SSH, może się zalogować bez znajomości żadnego hasła. Wystarczy jedno połączenie, działa za każdym razem i nie jest potrzebna żadna kolejna próba. »
Ryzyko wykorzystania do monitorowania
Alpine Linux informuje, że nie otrzymał jeszcze żadnych zgłoszeń o wykorzystaniu luki. Współzałożyciel Detectify i główny badacz bezpieczeństwa Fredrik Almroth uważa jednak, że ponieważ szczegóły są publiczne, a atak prosty, skanowanie mogłoby rozpocząć się w ciągu kilku godzin. Przypomina, że Shodan wylicza około 22 milionów systemów z otwartym portem SSH 22, liczbę, którą uważa za zaniżoną, oraz że każda próba wymaga tylko jednego połączenia.
Jake Knott, kierownik ds. analizy zagrożeń w WatchTowr, uważa z kolei za « niezwykle zaskakujące », jeśli do weekendu nie pojawią się próby ataków brute force. Zaleca, jeśli to możliwe, aktualizację do najnowszej wersji i, w oczekiwaniu na nią, wyłączenie uwierzytelniania za pomocą hasła.
