Angreifer nutzen OpenSSH SSHole Sicherheitslücke kurz nach Bekanntgabe aus

Bedrohungsakteure versuchen eine kürzlich veröffentlichte Sicherheitslücke in OpenSSH auszunutzen, die Anmeldungen bei Konten ohne gesetztes Passwort ermöglichen kann, wie Previdian berichtet.

Die unter dem Namen SSHole bekannte Schwachstelle wird als CVE-2026-123158 geführt und weist einen CVSS-Wert von 8,1 auf. Sie betrifft Linux-Systeme, die OpenSSH auf der musl C-Bibliothek mit deaktivierten Pluggable Authentication Modules betreiben, wozu auch die Standardkonfiguration des OpenSSH-Servers von Alpine Linux gehört.

Ein nicht authentifizierter Angreifer kann ein zu großes Passwort übermitteln, um Zugriff auf Konten zu erhalten, die bewusst ohne nutzbare Passwörter konfiguriert wurden. Hierfür ist kein Diebstahl von Anmeldedaten oder SSH-Schlüsseln erforderlich. Die von dem Sicherheitsforscher Ozgun Kultekin entdeckte Lücke wurde in OpenSSH 10.6p2 behoben.

Das Problem resultiert aus einem Patch aus dem Jahr 2016 zur Behebung der Schwachstelle CVE-2016-6210. Unter bestimmten Bedingungen interpretiert das Passwort-Handling in OpenSSH eine fehlgeschlagene Passwort-Hashing-Operation fälschlicherweise als erfolgreiche Authentifizierung, indem es denselben Wert, ein Sternchen, erzeugt, der anzeigt, dass ein Konto auf Systemebene ohne Passwort konfiguriert ist. Ein Angreifer kann dies durch ein beliebiges Passwort zwischen 257 und 1.024 Bytes auslösen.

Eine erfolgreiche Ausnutzung setzt voraus, dass mindestens ein Konto ein Sternchen als Passwort-Hash besitzt. Passwörter bei Konten mit gültigen Passwort-Hashes können nicht umgangen werden. Ein erfolgreicher Angriff gewährt Zugriff mit den bestehenden Berechtigungen des kompromittierten Kontos, was potenziell zu Root-Zugriff, dem Diebstahl von Berechtigungen oder einer Störung von Diensten führen kann.

Previdian beobachtete den ersten Ausnutzungsversuch weniger als neun Stunden nach der Veröffentlichung der CVE. Das Unternehmen bestätigte einen erfolgreichen Root-Zugriff auf einem Honeypot, der Alpine Linux und OpenSSH ausführte. Telemetriedaten zeigen insgesamt acht Versuche von einer IP-Adresse aus Japan, wobei Befehle wie id, uname und hostname ausgeführt wurden.

Die Schwachstelle betrifft keine glibc-basierten Linux-Distributionen, Nicht-Linux-Systeme, Dropbear oder Systeme, die Passwörter über PAM prüfen. Betroffenen Nutzern wird empfohlen, OpenSSH 10.6p2 oder ein aktualisiertes Paket ihrer Distribution zu installieren und den sshd-Dienst neu zu starten. Alpine empfiehlt zudem die Überprüfung von Protokolleinträgen in /var/log/messages auf akzeptierte Passwörter für Konten, die keine Passwort-Logins zulassen sollten.