Geräte, die auf bestimmten Konfigurationen der Alpine Linux-Distribution und möglicherweise anderer Distributionen basieren, sind von einer etwa ein Jahrzehnt alten Sicherheitslücke betroffen, die es Angreifern ermöglicht, sich ohne die Eingabe eines Passworts vollständig auf den Zielgeräten anzumelden.
Die Wurzeln der als *sshole bezeichneten Sicherheitslücke liegen in der Art und Weise, wie die OpenSSH-Bibliothek, die für SSH-Verbindungen verantwortlich ist, mit der musl-Bibliothek interagiert – einer leichten Alternative zur libc, die in der Alpine-Distribution verwendet wird. Damit die Sicherheitslücke auftritt, darf OpenSSH in Verbindung mit musl das PAM-Authentifizierungs-Framework nicht verwenden. Zudem müssen weitere Bedingungen erfüllt sein, wie etwa die Existenz eines Benutzerkontos, dessen Passwort mit SHA256- oder SHA512-Funktionen verschlüsselt ist, und dass das Konto durch das Setzen eines Sternchens in der Konfigurationsdatei als passwortlos markiert wurde.
Was ändert sich in der Praxis?
Wenn alle oben genannten Bedingungen erfüllt sind, kann ein Angreifer, der Zugriff auf den SSH-Port hat, sich anmelden, indem er einfach mehr als 256 Zeichen in das Passwortfeld eingibt. Die Entwickler der Alpine-Distribution bestätigten, dass der Angriff über eine einzige Verbindung erfolgt und jedes Mal erfolgreich ist, ohne dass wiederholte Versuche erforderlich sind.
Das Cybersicherheitsunternehmen Checkpoint erklärte, dass die Verwendung der genannten Verschlüsselungsalgorithmen eine entscheidende Rolle spielt, da der sshd-Dienst auf den Salt-Wert der Verschlüsselung des jeweiligen Kontos angewiesen ist. Das Unternehmen wies zudem darauf hin, dass Root-Konten unter der Standardeinstellung, die die Anmeldung per Passwort verbietet, sicher bleiben, während Konten mit sudo- oder doas-Berechtigungen anfällig bleiben.
Reichweite der Auswirkungen und Fehlerbehebungen
Die Alpine-Distribution ist weit verbreitet und wird in mehr als einer Milliarde Docker-Basisimage-Downloads verwendet, zudem ist sie stark vertreten in Embedded-Geräten, Routern, Servern und digitalen Containern. Schätzungen des Unternehmens Detectify zufolge gibt es Millionen von Systemen, die am Port 22 offen sind; obwohl nur ein kleiner Prozentsatz die Bedingungen der Sicherheitslücke erfüllt, macht die einfache Überprüfbarkeit die Risiken real.
Sowohl die Verantwortlichen für OpenSSH als auch für die Alpine-Distribution haben Sicherheitsupdates zur Behebung des Problems veröffentlicht, während die technischen Meinungen unter den Bibliotheksentwicklern darüber auseinandergehen, wo die eigentliche Fehlerquelle liegt – in OpenSSH oder in musl. Da bisher noch keine offizielle CVE-Kennung vorliegt, wird Technikern und Systemadministratoren empfohlen, ihre Infrastrukturen zu überprüfen und die verfügbaren Updates sofort anzuwenden.