Експертні статті про SEOКонтактиRSShello@linksgauge.com

Технології

Хакери почали атакувати вразливість SSHole в OpenSSH одразу після її оприлюднення

Редакція LinksGauge2 хв читання

Ілюстрація кібератаки на сервер OpenSSH та Alpine Linux

Головне за 30 секунд

  • Вразливість SSHole (CVE-2026-123158) в OpenSSH оцінюється в 8.1 бала за шкалою CVSS.
  • Перші спроби експлуатації було виявлено менш ніж через 9 годин після публікації інформації про CVE.
  • Проблема зачіпає системи Linux на базі musl C library із вимкненим PAM, включаючи Alpine Linux за замовчуванням.
  • Уразливість виправлено у версії OpenSSH 10.6p2.
Зміст

Суть вразливості SSHole та механізм її виникнення

Уразливість, яка отримала ідентифікатор CVE-2026-123158 (оцінка CVSS: 8.1) і кодову назву SSHole (або *sshole), зачіпає системи Linux, де OpenSSH працює на базі бібліотеки musl C library з вимкненим модулем PAM (Pluggable Authentication Modules). Така конфігурація є стандартною для Alpine Linux.

Проблему виявив дослідник безпеки Ozgun Kultekin. Витоки помилки сягають патчу 2016 року, створеного для виправлення вразливості переліку користувачів CVE-2016-6210. За певних умов обробка пароля в OpenSSH помилково сприймає невдалу операцію хешування за успішну автентифікацію. Це відбувається через генерацію символу зірочки (*), який у системі позначає акаунти із відключеним паролем.

Як працює обхід автентифікації

Неавтентифікований нападник може передати пароль завдовжки від 257 до 1024 байтів. Це викликає збій спроби хешування, повертаючи зірочку. Після цього демон sshd порівнює цей результат із зірочкою, збереженою у полі пароля облікового запису, що призводить до успішного входу без використання дійсних облікових даних або SSH-ключів.

Для успішної атаки акаунт повинен мати зірочку (*) як хеш пароля. Вразливість не дозволяє обходити паролі на акаунтах із дійсними хешами. Вона не впливає на Dropbear, дистрибутиви Linux на базі glibc, системи не на Linux та конфігурації, які перевіряють паролі через PAM.

Активні атаки та рекомендації щодо захисту

За даними компанії Previdian, першу спробу експлуатації виявили менш ніж через 9 годин після оприлюднення CVE. Експерти підтвердили отримання зловмисниками root-доступу на ханіпоті з Alpine Linux. Телеметрія зафіксувала вісім спроб атаки з IP-адреси 89.116.89[.]18 (геолокація — Японія). Нападники виконували команди розвідки, такі як id, uname та hostname через неінтерактивні SSH-сесії.

Уразливість усунуто в релізі OpenSSH 10.6p2. Користувачам рекомендується встановити оновлення та перезапустити sshd. Команда Alpine також радить перевірити логи в /var/log/messages на наявність записів «Accepted password for» для акаунтів без паролів (alpine, root тощо).