Hackere angriper OpenSSH SSHole sårbarhet kort tid etter offentliggjøring

Trusselaktører forsøker å utnytte en nylig offentliggjort sikkerhetsbrist i OpenSSH som kan tillate pålogging til kontoer uten fastsatt passord, ifølge Previdian.

Sårbarheten, som spores som CVE-2026-123158 med en CVSS-score på 8,1 og kodenavn SSHole, påvirker Linux-systemer som kjører OpenSSH på musl C-biblioteket med deaktiverte utvidbare autentiseringsmoduler, inkludert standardkonfigurasjonen for OpenSSH-serveren i Alpine Linux.

En uautentisert angriper kan oppgi et for stort passord for å få tilgang til kontoer som bevisst er konfigurert uten brukbare passord, uten å måtte stjele legitimasjon eller SSH-nøkler. Problemet ble oppdaget av sikkerhetsforsker Ozgun Kultekin og er utbedret i OpenSSH 10.6p2.

Den underliggende årsaken går tilbake til en oppdatering fra 2016 som skulle fikse en sårbarhet for opplisting av brukernavn. Under spesifikke forhold tolker passordhåndteringen i OpenSSH feilaktig en mislykket passord-hashing som vellykket autentisering ved å produsere den samme verdien, en stjerne, som brukes for å indikere at en konto har deaktivert passord på systemnivå.

En angriper kan utløse dette ved å bruke et vilkårlig passord mellom 257 og 1 024 byte, noe som får hash-forsøket til å feile og returnere en stjerne. SSH-daemonen sammenligner dette med stjernen lagret i kontoens passordfelt, noe som fører til en vellykket pålogging. Utnyttelse krever at minst én konto har en stjerne som sin passord-hash, og det tillater ikke omgåelse av passord på kontoer med gyldige passord-hasher.

Previdian observerte det første forsøket på utnyttelse mindre enn ni timer etter at sårbarheten ble publisert. Selskapet har bekreftet vellykket root-tilgang på en honningkrukke som kjørte Alpine Linux og OpenSSH. Telemetridata viser totalt åtte forsøk fra en IP-adresse lokalisert til Japan.

Sårbarheten påvirker ikke Dropbear, Linux-distribusjoner basert på glibc, systemer som ikke kjører Linux, eller systemer som kontrollerer passord via utvidbare autentiseringsmoduler. Berørte brukere anbefales å installere OpenSSH 10.6p2 eller en oppdatert pakke fra sin distribusjon og starte SSH-daemonen på nytt.