האקרים מנצלים פגיעות ב-OpenSSH כדי להשיג גישת שורש במערכות לינוקס

גורמי איום מנסים לנצל פגיעות אבטחה שגולהה לאחרונה ב-OpenSSH, המאפשרת התחברות לחשבונות שאינם מוגדרים עם סיסמה, כך על פי Previdian.

הפגיעות, המזוהה כ-CVE-2026-123158 עם ציון CVSS של 8.1 ומכונה SSHole, משפיעה על מערכות Linux המריצות OpenSSH על ספריית musl C כאשר מודולי אימות נשלבים, PAM, מושבתים. הגדרה זו כוללת את הגדרת ברירת המחדל של שרת OpenSSH ב-Alpine Linux.

תוקף שאינו מאומת יכול לספק סיסמה גדולה מהרגיל כדי לגשת לחשבונות שהוגדרו במכוון ללא סיסמאות שמיש, מבלי להזדקק לגניבת אישורי גישה או מפתחות SSH. הבעיה נגזרה מתיקון שהוכנס בשנת 2016 לטיפול בפגיעות אחרת. בתנאים מסוימים, התנהגות הטיפול בסיסמה ב-OpenSSH מפרשת בטעות כישלון בפעולת גיבוב סיסמה כאימות מוצלח, מכיוון שהיא מייצרת ערך של כוכבית, שהוא אותו ערך המשמש לסימון חשבון שסיסמתו מושבתת ברמת המערכת.

כדי להפעיל את הפגיעות, תוקף יכול להשתמש בסיסמה שרירותית באורך שבין 257 ל-1,024 בתים. הדבר גורם לניסיון הגיבוב להיכשל ולהחזיר כוכבית, אותה משווה שרת ה-sshd לערך השמור בשדה הסיסמה של החשבון, מה שמוביל לכניסה מוצלחת. עם זאת, ניצול מוצלח דורש לפחות חשבון אחד שסיסמתו היא כוכבית, והוא אינו מאפשר לעקוף סיסמאות בחשבונות עם גיבוב סיסמה תקף.

חברת Previdian דיווחה כי זיהתה את ניסיון הניצול הראשון פחות משעות תשע לאחר פרסום ה-CVE. החברה אישרה השגת גישת שורש מוצלחת במערכת דבש שהריצה Alpine Linux ו-OpenSSH. נתוני טלמטריה מראים שמונה ניסיונות ניצול מכתובת IP הממוקמת ביפן. התוקף השתמש בסיסמאות גדולות כדי לעקוף את האימות והריץ פקודות סיור כגון id, uname ו-hostname.

הפגיעות אינה משפיעה על Dropbear, הפצות לינוקס המבוססות על glibc, מערכות שאינן לינוקס ומערכות הבודקות סיסמאות דרך PAM. משתמשים מושפעים מומלצים להתקין את גרסה 10.6p2 של OpenSSH או חבילה מתוקנת מההפצה שלהם ולהפעיל מחדש את sshd. חברת Alpine ממליצה למשתמשים לבדוק רשומות של סיסמה שהתקבלה עבור חשבונות שאינם אמורים לקבל התחברות בסיסמה.