Bedrohungsgruppen haben begonnen, eine hochkritische Sicherheitslücke im OpenSSH-Protokoll auszunutzen, die als "SSHole" bekannt ist und die Kennung CVE-2026-123158 trägt. Diese Schwachstelle ermöglicht es Angreifern, den Authentifizierungsprozess zu umgehen und unbefugten Zugriff auf Konten zu erlangen, einschließlich des "root"-Kontos in bestimmten Umgebungen.
Das technische Problem liegt darin, wie das System interpretiert, ob eine Zeichenkette einen "Hash" für ein Passwort darstellt oder nicht. In Distributionen, die die musl libc-Bibliothek verwenden und bei denen das Pluggable Authentication Module (PAM) deaktiviert ist — wie Alpine, OpenWrt, Yocto und Buildroot — kann ein Angreifer ein Passwort mit einer Länge zwischen 257 und 1024 Zeichen eingeben. Bei Überschreiten dieser Länge schlägt die Funktion crypt() in der musl-Bibliothek fehl und gibt das Symbol "*" anstelle eines Nullwerts (NULL) zurück. Da Konten wie "root" in diesen Distributionen das Symbol "*" im Passwortfeld speichern, interpretiert der OpenSSH-Server (sshd) das Ergebnis als korrektes Passwort und gewährt den Zugriff.
Zu den betroffenen Konten in der Alpine-Distribution gehören das "root"-Konto, jeder Benutzer, der über adduser ohne Passwort erstellt wurde, sowie Benutzer, die über musl-nscd von Verzeichnisdiensten stammen.
Warum stellt diese Bedrohung ein so hohes Risiko dar?
Die Gefahr liegt darin, dass die Schwachstelle eine der wichtigsten Sicherheitsgrundlagen in Linux-Systemen bricht: den Schutz des "root"-Kontos. In den betroffenen Systemen kann ein Angreifer vollständige Systemrechte erlangen, ohne das tatsächliche Passwort zu kennen. Sicherheitsunternehmen wie WatchTowr und Previdian haben bereits aktive Ausnutzungsversuche beobachtet; Previdian wies darauf hin, dass in den letzten Tagen 20 Ausnutzungsversuche von 13 verschiedenen IP-Adressen in 9 Ländern registriert wurden. Obwohl sich die aktuellen Angriffe auf Botnetze und Krypto-Miner beschränken, deuten Prognosen darauf hin, dass wahrscheinlich bald auch anspruchsvollere Bedrohungsgruppen diese Schwachstelle übernehmen werden.
Schutz und Prävention
Um Systeme zu schützen, wird empfohlen, sofort die folgenden Schritte zu unternehmen:
- OpenSSH aktualisieren: Upgrade auf Version 10.6p2 oder neuer.
- Passwort-Authentifizierung deaktivieren: Verwendung von SSH-Schlüsseln anstelle von Passwörtern (Password Authentication).
- Protokolle überprüfen: Überprüfung der Systemprotokolle auf ungewöhnliche oder verdächtig lange Anmeldeanfragen.
- Dienst deaktivieren: In kritischen Fällen, in denen kein Update möglich ist, kann die Deaktivierung des SSH-Dienstes die einzige vorübergehende Lösung sein.