Злоумышленники пытаются использовать недавно обнаруженную уязвимость безопасности в OpenSSH, которая позволяет входить в учетные записи без установленного пароля, сообщает Previdian. Уязвимость, отслеживаемая как CVE-2026-123158 (оценка CVSS: 8.1) и получившая кодовое название SSHole (или *sshole), затрагивает системы Linux, использующие OpenSSH на C-библиотеке musl с отключенными модулями аутентификации (PAM), включая стандартную конфигурацию сервера OpenSSH в Alpine Linux. Неаутентифицированный злоумышленник может отправить чрезмерно длинный пароль для доступа к учетным записям, намеренно сконфигурированным без возможности использования пароля, без необходимости кражи учетных данных или SSH-ключей. Проблема, обнаруженная исследователем безопасности Озгуном Культекином, была устранена в OpenSSH 10.6p2. Основная проблема восходит к исправлению, внесенному в 2016 году для устранения уязвимости перечисления имен пользователей, отслеживаемой как CVE-2016-6210. При определенных условиях обработка паролей в OpenSSH ошибочно интерпретирует неудачную операцию хеширования пароля как успешную аутентификацию, генерируя то же значение (“*”), которое используется для обозначения учетной записи с отключенным на системном уровне паролем. Злоумышленник может использовать уязвимость для аутентификации в определенных учетных записях с отключенным паролем, используя произвольный пароль длиной от 257 до 1024 байт, что приводит к сбою попытки хеширования и возврату звездочки. Затем демон sshd сравнивает ее со звездочкой, хранящейся в поле пароля учетной записи, что приводит к успешному входу. Важно отметить, что успешная эксплуатация требует наличия хотя бы одной учетной записи со звездочкой (*) в качестве хеша пароля. Она не позволяет злоумышленникам обходить пароли для учетных записей с действительными хешами паролей. «Успешная атака SSHole предоставляет доступ с существующими разрешениями скомпрометированной учетной записи», — заявили в Safe Security. «Для предприятий последствия SSHole зависят от привилегий скомпрометированной учетной записи». «Хотя несанкционированный доступ по SSH является непосредственным последствием, злоумышленники также могут получить доступ к учетным данным для развертывания, секретам приложений и подключенной инфраструктуре, что потенциально может привести к боковому перемещению или сбоям в работе служб». Стоит отметить, что уязвимость не затрагивает Dropbear, дистрибутивы Linux на базе glibc, системы, отличные от Linux, и системы, которые проверяют пароли через PAM. Фирма Previdian, занимающаяся анализом угроз, сообщила, что зафиксировала первую попытку эксплуатации менее чем через девять часов после публикации CVE, добавив, что подтвердила успешный доступ к системе root на honeypot, работающем под управлением Alpine Linux и OpenSSH. Данные телеметрии показывают в общей сложности восемь попыток эксплуатации с IP-адреса, геолоцированного в Японии. «Наблюдаемый исходный IP-адрес, 89.116.89[.]18, использовал чрезмерно длинные пароли для обхода аутентификации и выполнял команды разведки, включая id, uname и hostname, через неинтерактивные SSH-сессии», — заявил в своем заявлении для The Hacker News Райан Дьюхерст, основатель и генеральный директор Previdian. Затронутым пользователям рекомендуется установить OpenSSH 10.6p2 или пропатченный пакет своего дистрибутива, а затем перезапустить sshd. Alpine также рекомендует пользователям проверять записи в журнале “Accepted password for”, связанные с учетными записями, которые не должны принимать пароли. «Ищите в /var/log/messages строки sshd, гласящие Accepted password for для учетной записи, у которой нет пароля (alpine, root или любой пользователь, использующий только ключи)», — говорится в сообщении Alpine. «Проверьте использование doas и недавно созданных пользователей, файлы и авторизованные ключи на подверженных машинах. Если вы не можете исключить вход, считайте машину скомпрометированной».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
