OpenSSH экстренно выпустил патчи против критической уязвимости аутентификации, позволяющей злоумышленникам подключаться с использованием очень длинных паролей. Уязвимость, получившая название SSHole и зарегистрированная под идентификатором CVE-2026-123158 с оценкой CVSS 8,1 (шкала оценки серьёзности уязвимостей), затрагивает сервер OpenSSH (sshd).
Путаница с паролями
Согласно описанию уязвимости, сервер SSH, позволяющий удалённо подключаться к машине, затрагивает только дистрибутивы Linux, использующие библиотеку musl libc и у которых отключён модуль PAM (Pluggable Authentication Module, компонент, отвечающий за управление аутентификацией). Дефект заключается в « неправильной интерпретации » вопроса о том, предназначена ли строка символов для хеша пароля, то есть закодированной версии пароля. В этом случае злоумышленники могут получить доступ к определённым учётным записям с любым паролем длиной от 257 до 1024 символов.
Проблема затрагивает, в частности, учётные записи, которые никогда не должны принимать пароль, например, учётную запись root, которая полностью администрирует систему. Однако, как отмечает исследователь безопасности Özgün Kültekin, в таких дистрибутивах, как Alpine, OpenWrt, Buildroot или Yocto, эти учётные записи принимают пароль.
Разработчик OpenSSH Дэмиен Миллер уточняет, что уязвимость находится не в самом sshd, но может быть эксплуатирована через sshd. Патчи включены в версию OpenSSH 10.6p2.
Ускоренная публикация
Дэмиен Миллер объясняет скорость публикации: « Мы выпускаем эту версию как можно быстрее (мы обнаружили проблему вчера), потому что недавно наблюдали несколько случаев быстрого повторного обнаружения ошибок агентами ИИ, иногда в течение нескольких часов. Поэтому мы считаем, что длительные периоды эмбарго — опасная практика, которая в основном выгодна злоумышленникам. »
Со своей стороны, Alpine Linux призвал пользователей немедленно применить патчи OpenSSH и перезапустить sshd или отключить подключения по паролю, а затем перезапустить службу. Дистрибутив уточняет, что злоумышленник должен знать имя учётной записи, поле пароля которой содержит « * », что является нормой для учётных записей, доступных только по ключу, и что машина должна иметь как минимум ещё одну учётную запись с хешем пароля, начинающимся на $5$ или $6$.
Alpine Linux сообщает, что все проверенные версии затронуты, от 3.21 до 3.24, а также ветка edge, как и более старые версии, которые больше не получают регулярных обновлений, от 3.16 до 3.20. Также подчёркивается: « Злоумышленник, который может достичь вашего SSH-порта, может подключиться, не зная ни одного пароля. Достаточно одного подключения, это работает каждый раз, и никаких повторных попыток не требуется. »
Риск эксплуатации, требующий внимания
Alpine Linux сообщает, что ещё не получил сообщений об эксплуатации. Однако сооснователь Detectify и ведущий исследователь безопасности Фредрик Алмрот считает, что, поскольку детали публичны, а атака проста, сканирование может начаться в ближайшие часы. Он напоминает, что Shodan насчитывает около 22 миллионов систем с открытым SSH-портом 22, что, по его мнению, меньше реального числа, и что каждая попытка требует всего одного подключения.
Джейк Нотт, руководитель отдела разведки угроз в WatchTowr, со своей стороны считает « крайне удивительным », если попытки атак методом перебора не появятся до выходных. Он рекомендует, по возможности, обновиться до последней версии и, в ожидании этого, отключить аутентификацию по паролю.
