Des pirates exploitent une faille d'OpenSSH pour obtenir un accès root sur un pot de miel

Des acteurs de menaces tentent d'exploiter une faille de sécurité récemment divulguée impactant OpenSSH, laquelle peut permettre des connexions à des comptes sans mot de passe défini, selon Previdian.

La vulnérabilité, identifiée sous le code CVE-2026-123158 avec un score CVSS de 8,1 et surnommée SSHole, affecte les systèmes Linux utilisant OpenSSH avec la bibliothèque C musl lorsque les modules d'authentification pluggables, PAM, sont désactivés. Cette configuration inclut le serveur OpenSSH par défaut d'Alpine Linux.

Un attaquant non authentifié peut fournir un mot de passe surdimensionné pour accéder à des comptes délibérément configurés sans mots de passe utilisables, sans avoir à voler d'identifiants ou de clés SSH. Le problème provient d'un correctif de 2016 destiné à résoudre une vulnérabilité d'énumération d'utilisateurs. Dans certaines conditions, OpenSSH interprète par erreur l'échec d'une opération de hachage de mot de passe comme une authentification réussie en produisant une valeur astérisque, identique à celle utilisée pour indiquer qu'un compte a son mot de passe désactivé au niveau du système.

Pour déclencher cette faille, un attaquant utilise un mot de passe arbitraire compris entre 257 et 1 024 octets. Le démon sshd compare ensuite le résultat avec l'astérisque stocké dans le champ du mot de passe du compte, ce qui conduit à une connexion réussie. L'exploitation nécessite qu'au moins un compte possède un astérisque comme hachage de mot de passe, mais elle ne permet pas de contourner les mots de passe des comptes disposant de hachages valides.

Previdian a observé la première tentative d'exploitation moins de neuf heures après la publication de la CVE. L'entreprise a confirmé l'obtention d'un accès root sur un pot de miel exécutant Alpine Linux et OpenSSH. Les données de télémétrie indiquent huit tentatives d'exploitation provenant d'une adresse IP située au Japon. L'attaquant a utilisé des mots de passe surdimensionnés pour contourner l'authentification et a exécuté des commandes de reconnaissance telles que id, uname et hostname.

La vulnérabilité ne concerne pas Dropbear, les distributions Linux basées sur glibc, les systèmes non Linux, ni les systèmes vérifiant les mots de passe via PAM. Le problème a été corrigé dans OpenSSH 10.6p2. Alpine recommande aux utilisateurs d'examiner les entrées de journal indiquant un mot de passe accepté pour des comptes qui ne devraient pas accepter de connexions par mot de passe.