تواجه الأجهزة التي تعتمد على تكوينات محددة من توزيعة ألفاين (Alpine Linux) وربما توزيعات أخرى، ثغرة أمنية قديمة تعود لنحو عقد من الزمن، تتيح للمهاجمين تسجيل الدخول إلى الأجهزة المستهدفة تماماً دون الحاجة إلى إدخال كلمة مرور.
تكمن جذور الثغرة، التي أُطلق عليها اسم *sshole، في طريقة تفاعل مكتبة OpenSSH المسؤولة عن اتصالات SSH مع مكتبة musl البديلة والخفيفة لمكتبة libc والتي تُستخدم في توزيعة Alpine. ولكي تظهر الثغرة، يجب ألا تستخدم OpenSSH مع musl إطار عمل المصادقة الموصول PAM، بالإضافة إلى توفر شروط إضافية مثل وجود حساب مستخدم محمي بكلمة مرور مشفرة باستخدام دوال SHA256 أو SHA512، وأن يكون الحساب مخصصاً بلا كلمة مرور عبر وضع علامة نجمية في ملف التكوين.
ما الذي يتغير عملياً؟
عند توفر كافة الشروط السابقة، يتمكن المهاجم الذي يتمكن من الوصول إلى منفذ SSH من تسجيل الدخول بمجرد إدخال أكثر من 256 حرفاً في حقل كلمة المرور. وأكد مطورو توزيعة Alpine أن الهجوم يتم من اتصال واحد وينجح في كل مرة دون الحاجة إلى محاولات متكررة.
أوضحت شركة الأمن السيبراني Checkpoint أن استخدام خوارزميات التشفير المذكورة يلعب دوراً أساسياً لأن خدمة sshd تعتمد على قيمة التشفير العشوائي salt الخاصة بالحساب المعني. كما أشارت الشركة إلى أن حسابات الجذر (root) تظل آمنة في ظل الإعداد الافتراضي الذي يحظر تسجيل الدخول بكلمة مرور، بينما تظل الحسابات التي تمتلك صلاحيات sudo أو doas عرضة للخطر.
نطاق التأثير والإصلاحات
تحظى توزيعة Alpine بشعبية واسعة، حيث تستخدم في أكثر من مليار عملية تحميل لصورة قاعدة Docker، فضلاً عن حضورها البارز في الأجهزة المضمنة، والموجهات، والخوادم، والحاويات الرقمية. وتشير تقديرات شركة Detectify إلى وجود ملايين الأنظمة المفتوحة على المنفذ 22، ورغم أن نسبة قليلة منها تستوفي شروط الثغرة، إلا أن سهولة الفحص تجعل المخاطر قائمة.
أصدرت كل من الجهات المسؤولة عن OpenSSH وتوزيعة Alpine تحديثات أمنية لمعالجة المشكلة، بينما تباهت الآراء التقنية بين مطوري المكتبات حول موطن الخلل الأساسي سواء في OpenSSH أو musl. وفي ظل غياب ممعرّف CVE رسمي حتى الآن، يُنصح الفنيون ومسؤولو الأنظمة بفحص البنى التحتية وتطبيق التحديثات المتاحة فوراً.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.