Группировки злоумышленников начали эксплуатировать критическую уязвимость в протоколе OpenSSH, известную как "SSHole" и имеющую идентификатор CVE-2026-123158. Эта уязвимость позволяет злоумышленникам обходить процесс аутентификации и получать несанкционированный доступ к учетным записям, включая учетную запись "root" в определенных средах.
Техническая проблема заключается в том, как система интерпретирует, является ли текстовая строка хешем пароля. В дистрибутивах, использующих библиотеку musl libc с отключенным подключаемым модулем аутентификации (PAM) — таких как Alpine, OpenWrt, Yocto и Buildroot — злоумышленник может ввести пароль длиной от 257 до 1024 символов. При превышении этой длины функция crypt() в библиотеке musl возвращает символ "*" вместо пустого значения (NULL). Поскольку учетные записи, такие как "root", в этих дистрибутивах хранят символ "*" в поле пароля, сервер OpenSSH (sshd) интерпретирует результат как правильный пароль и разрешает вход.
Затронутые учетные записи в дистрибутиве Alpine включают учетную запись "root", любого пользователя, созданного через adduser без пароля, а также пользователей, поступающих из служб каталогов через musl-nscd.
Почему эта угроза представляет серьезную опасность?
Опасность заключается в том, что уязвимость нарушает одну из важнейших основ безопасности в системах Linux — защиту учетной записи "root". В затронутых системах злоумышленник может получить полные права доступа к системе, не зная фактического пароля. Компании по кибербезопасности, такие как WatchTowr и Previdian, уже зафиксировали попытки активной эксплуатации; Previdian сообщила о выявлении 20 попыток эксплуатации с 13 различных IP-адресов в 9 странах за последние несколько дней. Хотя текущие атаки ограничиваются ботнетами и майнерами криптовалют, прогнозы указывают на вероятность того, что более продвинутые группировки злоумышленников вскоре возьмут эту уязвимость на вооружение.
Как защититься и предотвратить угрозу
Для защиты систем рекомендуется немедленно предпринять следующие шаги:
- Обновление OpenSSH: Обновитесь до версии 10.6p2 или новее.
- Отключение аутентификации по паролю: Используйте SSH-ключи вместо паролей (Password Authentication).
- Проверка журналов: Проверяйте системные журналы на наличие подозрительно длинных или необычных запросов на вход.
- Отключение службы: В критических случаях, когда обновление невозможно, отключение службы SSH может быть единственным временным решением.