Des groupes de menaces ont commencé à exploiter une vulnérabilité de haute criticité dans le protocole OpenSSH, connue sous le nom de "SSHole" et portant l'identifiant CVE-2026-123158. Cette faille permet aux attaquants de contourner le processus d'authentification et d'obtenir un accès non autorisé à des comptes, y compris le compte "root" dans des environnements spécifiques.
Le problème technique réside dans la manière dont le système interprète si une chaîne de caractères représente ou non un hachage de mot de passe. Dans les distributions qui utilisent la bibliothèque musl libc avec le module d'authentification enfichable (PAM) désactivé — telles que Alpine, OpenWrt, Yocto et Buildroot — un attaquant peut saisir un mot de passe dont la longueur est comprise entre 257 et 1024 caractères. En cas de dépassement de cette longueur, la fonction crypt() de la bibliothèque musl échoue et renvoie le symbole "*" au lieu de la valeur nulle (NULL). Étant donné que les comptes tels que "root" dans ces distributions stockent le symbole "*" dans le champ du mot de passe, le serveur OpenSSH (sshd) interprète le résultat comme un mot de passe correct et autorise l'accès.
Les comptes affectés dans la distribution Alpine incluent le compte "root", tout utilisateur créé via adduser sans mot de passe, ainsi que les utilisateurs provenant des services d'annuaire via musl-nscd.
Pourquoi cette menace est-elle extrêmement grave ?
Le danger réside dans le fait que la vulnérabilité brise l'un des fondements majeurs de la sécurité des systèmes Linux, à savoir la protection du compte "root". Sur les systèmes touchés, un attaquant peut obtenir des privilèges complets sur le système sans connaître le mot de passe réel. Des entreprises de sécurité telles que WatchTowr et Previdian ont déjà détecté des tentatives d'exploitation actives ; Previdian a ainsi indiqué avoir observé 20 tentatives d'exploitation provenant de 13 adresses IP différentes réparties dans 9 pays au cours des derniers jours. Bien que les attaques actuelles se limitent aux réseaux de bots (botnets) et aux mineurs de cryptomonnaie (crypto miners), les prévisions indiquent que des groupes de menaces plus sophistiqués pourraient bientôt adopter cette vulnérabilité.
Comment se protéger et prévenir
Pour protéger les systèmes, il est recommandé de prendre immédiatement les mesures suivantes :
- Mettre à jour OpenSSH : Passer à la version 10.6p2 ou ultérieure.
- Désactiver l'authentification par mot de passe : Utiliser des clés SSH à la place des mots de passe (Password Authentication).
- Examiner les journaux : Inspecter les journaux du système à la recherche de demandes de connexion anormales ou anormalement longues.
- Désactiver le service : Dans les cas critiques impossibles à mettre à jour, la désactivation du service SSH peut constituer la seule solution temporaire.