Keamanan · 9 November 2026
Juga diterbitkan dalam 日本語, 中文, 한국어, हिन्दी, Türkçe, Русский, العربية, Deutsch, Español, Français, Italiano, Nederlands, Svenska, Norsk, Polski, עברית
Peretas Targetkan Celah SSHole pada OpenSSH, Berhasil Dapatkan Akses Root pada Honeypot
Aktor ancaman mencoba mengeksploitasi celah keamanan yang baru saja diungkap pada OpenSSH yang dapat memungkinkan masuk ke akun yang tidak memiliki kata sandi yang ditetapkan, menurut Previdian.
Kerentanan ini dilacak sebagai CVE-2026-123158 dengan skor CVSS 8,1 dan diberi nama kode SSHole atau sshole. Masalah ini berdampak pada sistem Linux yang menjalankan OpenSSH pada pustaka C musl dengan Modul Autentikasi Pluggable atau PAM yang dinonaktifkan, termasuk konfigurasi server OpenSSH standar pada Alpine Linux.
Penyerang yang tidak terautentikasi dapat memberikan kata sandi yang berukuran terlalu besar untuk mengakses akun yang sengaja dikonfigurasi tanpa kata sandi yang dapat digunakan, tanpa harus mencuri kredensial atau kunci SSH. Masalah ini ditemukan oleh peneliti keamanan Ozgun Kultekin dan telah diperbaiki dalam OpenSSH 10.6p2.
Masalah mendasar berasal dari tambalan yang diperkenalkan pada tahun 2016 untuk memperbaiki kerentanan enumerasi nama pengguna yang dilacak sebagai CVE-2016-6210. Dalam kondisi tertentu, perilaku penanganan kata sandi di OpenSSH secara keliru menafsirkan operasi hashing kata sandi yang gagal sebagai autentikasi yang berhasil dengan menghasilkan nilai tanda bintang yang sama dengan yang digunakan untuk menunjukkan bahwa akun dengan kata sandi dinonaktifkan pada tingkat sistem.
Penyerang dapat memicu kerentanan ini untuk mengautentikasi ke akun tertentu yang kata sandinya dinonaktifkan menggunakan kata sandi sembarang dengan panjang antara 257 dan 1.024 byte, yang menyebabkan upaya hash gagal dan mengembalikan tanda bintang. Daemon sshd kemudian membandingkannya dengan tanda bintang yang tersimpan di kolom kata sandi akun, sehingga menyebabkan login berhasil.
Eksploitasi yang berhasil memerlukan setidaknya satu akun dengan tanda bintang sebagai hash kata sandinya. Hal ini tidak memungkinkan penyerang untuk melewati kata sandi pada akun yang memiliki hash kata sandi yang valid. Serangan SSHole yang berhasil memberikan akses dengan izin akun yang terkompromi. Dampaknya bagi perusahaan bergantung pada hak istimewa akun tersebut, di mana penyerang mungkin mendapatkan akses ke kredensial penerapan, rahasia aplikasi, dan infrastruktur yang terhubung, yang berpotensi memungkinkan pergerakan lateral atau gangguan layanan.
Kerentanan ini tidak memengaruhi Dropbear, distribusi Linux berbasis glibc, sistem non-Linux, dan sistem yang memeriksa kata sandi melalui PAM. Previdian mengamati upaya eksploitasi pertama kurang dari sembilan jam setelah publikasi CVE, dan mengonfirmasi akses root yang berhasil pada honeypot yang menjalankan Alpine Linux dan OpenSSH. Data telemetri menunjukkan total delapan upaya eksploitasi dari alamat IP yang berlokasi di Jepang.
Alamat IP sumber yang teramati menggunakan kata sandi berukuran besar untuk melewati autentikasi dan menjalankan perintah pengintaian termasuk id, uname, dan hostname melalui sesi SSH non-interaktif. Pengguna yang terdampak disarankan untuk menginstal OpenSSH 10.6p2 atau paket tambalan distribusi mereka, lalu memulai ulang sshd. Alpine juga merekomendasikan pengguna untuk menyelidiki entri log kata sandi yang diterima yang melibatkan akun yang seharusnya tidak menerima login kata sandi. Jika login tidak dapat dikesampingkan, mesin harus dianggap terkompromi.