A OpenSSH publicou correções de emergência para uma falha de autenticação de alta gravidade, que permite a atacantes ligarem-se utilizando palavras-passe muito longas. Batizada de SSHole e listada sob o identificador CVE-2026-123158, com uma pontuação CVSS de 8,1 (escala de medição da gravidade das vulnerabilidades), afeta o servidor OpenSSH (sshd).
- A OpenSSH corrige a falha SSHole, de gravidade alta, que permite contornar a autenticação.
- Atacantes entram em certas contas com palavras-passe de 257 a 1024 caracteres, em Linux com musl libc e PAM desativado.
- A versão 10.6p2 corrige o problema, e os utilizadores devem atualizar ou desativar a autenticação por palavra-passe.
- Os detalhes são públicos e o ataque é simples, por isso uma exploração pode começar em breve.
Uma confusão sobre as palavras-passe
Segundo a descrição da falha, o servidor SSH, que permite ligar remotamente a uma máquina, afeta apenas as distribuições Linux que utilizam a biblioteca musl libc e cujo módulo PAM (Pluggable Authentication Module, um componente responsável pela gestão da autenticação) está desativado. O defeito deve-se a uma « má interpretação » da questão de saber se uma cadeia de caracteres se destina a ser um hash de palavra-passe, ou seja, uma versão codificada da palavra-passe. Neste caso, os atacantes podem aceder a determinadas contas com qualquer palavra-passe que tenha entre 257 e 1024 caracteres.
O problema diz respeito nomeadamente a contas que nunca deveriam aceitar palavra-passe, como a conta root, que administra totalmente um sistema. Ora, em distribuições como Alpine, OpenWrt, Buildroot ou Yocto, refere o investigador de segurança Özgün Kültekin, estas contas aceitam uma palavra-passe.
O desenvolvedor da OpenSSH Damien Miller esclarece que a falha não está no próprio sshd, mas pode ser explorada através do sshd. As correções estão incluídas na versão OpenSSH 10.6p2.
Uma publicação acelerada
Damien Miller justifica a rapidez da publicação: « Publicamos esta versão o mais rápido possível (descobrimos o problema ontem) porque observámos recentemente vários casos de redescoberta rápida de bugs por agentes de IA, por vezes em poucas horas. Consideramos, portanto, que os longos períodos de embargo são uma prática perigosa, que beneficia principalmente os atacantes. »
Por seu lado, a Alpine Linux pediu aos seus utilizadores que apliquem imediatamente as correções da OpenSSH e reiniciem o sshd, ou desativem as ligações por palavra-passe e depois reiniciem o serviço. A distribuição esclarece que um atacante precisa de conhecer o nome de uma conta cujo campo de palavra-passe é « * », o que é normal para contas acessíveis apenas por chave, e que a máquina deve ter pelo menos mais uma conta com um hash de palavra-passe que comece por $5$ ou $6$.
A Alpine Linux indica que todas as versões controladas são afetadas, da 3.21 à 3.24, bem como a ramificação edge, assim como as versões mais antigas que já não recebem atualizações regulares, da 3.16 à 3.20. Salienta também: « Um atacante que consiga alcançar a sua porta SSH pode ligar-se sem conhecer nenhuma palavra-passe. Basta uma ligação, funciona sempre e não é necessária nenhuma nova tentativa. »
Um risco de exploração a monitorizar
A Alpine Linux indica ainda não ter recebido nenhuma notificação de exploração. O cofundador da Detectify e investigador principal de segurança Fredrik Almroth considera, no entanto, que, estando os detalhes públicos e o ataque sendo simples, uma varredura poderá começar nas próximas horas. Recorda que o Shodan regista cerca de 22 milhões de sistemas com a porta SSH 22 aberta, um número que considera inferior à realidade, e que cada tentativa requer apenas uma única ligação.
Jake Knott, responsável de inteligência de ameaças na WatchTowr, considera por sua vez « extremamente surpreendente » não ver tentativas de ataque por força bruta até ao fim de semana. Recomenda, se possível, atualizar para a versão mais recente e, entretanto, desativar a autenticação por palavra-passe.
