보안 · 2026년 11월 9일
해커들이 OpenSSH의 SSHole 취약점 공격, 허니팟에서 루트 권한 획득
위협 행위자들이 비밀번호가 설정되지 않은 계정으로의 로그인을 가능하게 하는 OpenSSH의 최근 공개된 보안 결함을 악용하려 시도하고 있습니다.
CVE-2026-123158로 추적되며 SSHole 또는 sshole이라는 코드명이 붙은 이 취약점은 CVSS 점수 8.1점을 기록했습니다. 이 문제는 Pluggable Authentication Modules인 PAM이 비활성화된 상태에서 musl C 라이브러리를 사용하는 Linux 시스템의 OpenSSH에 영향을 미치며, 여기에는 Alpine Linux의 기본 OpenSSH 서버 설정이 포함됩니다.
인증되지 않은 공격자는 자격 증명이나 SSH 키를 훔치지 않고도, 사용 가능한 비밀번호 없이 의도적으로 구성된 계정에 접속하기 위해 과도하게 큰 비밀번호를 제공할 수 있습니다. 이 문제는 보안 연구원 Ozgun Kultekin에 의해 발견되었으며, OpenSSH 10.6p2 버전에서 해결되었습니다.
근본적인 원인은 2016년에 도입된 CVE-2016-6210 사용자 이름 열거 취약점 수정 패치로 거슬러 올라갑니다. 특정 조건에서 OpenSSH의 비밀번호 처리 동작이 실패한 비밀번호 해싱 작업을 성공적인 인증으로 잘못 해석하는데, 이는 시스템 수준에서 비밀번호가 비활성화된 계정을 나타내는 값인 별표와 동일한 값을 생성하기 때문입니다.
공격자는 257바이트에서 1,024바이트 사이의 임의의 비밀번호를 사용하여 이 취약점을 유발할 수 있으며, 이로 인해 해시 시도가 실패하고 별표가 반환됩니다. 이후 sshd 데몬이 이를 계정의 비밀번호 필드에 저장된 별표와 비교하여 로그인이 성공하게 됩니다. 다만, 이 공격이 성공하려면 최소 하나 이상의 계정이 비밀번호 해시로 별표를 가지고 있어야 하며, 유효한 비밀번호 해시가 있는 계정의 비밀번호를 우회할 수는 없습니다.
Previdian은 CVE 공개 후 9시간이 지나지 않아 첫 번째 악용 시도를 관찰했으며, Alpine Linux와 OpenSSH가 실행 중인 허니팟에서 루트 권한 획득이 성공했음을 확인했습니다. 원격 측정 데이터에 따르면 일본으로 지리적 위치가 지정된 하나의 IP 주소에서 총 8번의 악용 시도가 있었습니다. 해당 IP 주소는 과도하게 큰 비밀번호를 사용하여 인증을 우회하고, 비대화형 SSH 세션을 통해 id, uname, hostname과 같은 정찰 명령을 실행했습니다.
이 취약점은 Dropbear, glibc 기반 Linux 배포판, 비 Linux 시스템, 그리고 PAM을 통해 비밀번호를 확인하는 시스템에는 영향을 미치지 않습니다. 영향받는 사용자는 OpenSSH 10.6p2 또는 배포판의 패치된 패키지를 설치한 후 sshd를 재시작해야 합니다.