Ataques exploram falha crítica no OpenSSH poucas horas após divulgação

black and brown bridge bridge — Alejandro Luengo / Unsplash

Atores de ameaça tentaram explorar uma falha de segurança recém-divulgada no OpenSSH, permitindo o acesso a contas sem senha definida, segundo a empresa de inteligência Previdian. A vulnerabilidade, identificada como CVE-2026-123158 com pontuação CVSS de 8,1 e apelidada de SSHole, afeta sistemas Linux que executam o OpenSSH sobre a biblioteca C musl com os Módulos de Autenticação Plugáveis (PAM) desativados, incluindo a configuração padrão do servidor OpenSSH do Alpine Linux. Um atacante não autenticado pode fornecer uma senha excessivamente longa para acessar contas configuradas deliberadamente sem senhas utilizáveis, sem precisar roubar credenciais ou chaves SSH. O problema, descoberto pelo pesquisador de segurança Ozgun Kultekin, foi corrigido na versão 10.6p2 do OpenSSH. A origem do defeito remonta a uma correção introduzida em 2016 para resolver uma vulnerabilidade de enumeração de nomes de usuário, rastreada como CVE-2016-6210. Em condições específicas, o comportamento de tratamento de senhas no OpenSSH interpreta incorretamente uma operação de hash de senha falha como uma autenticação bem-sucedida, produzindo o mesmo valor, um asterisco, usado para indicar que uma conta tem a senha desativada no nível do sistema.

Um atacante pode disparar a vulnerabilidade para autenticar em certas contas com senha desativada usando uma senha arbitrária com comprimento entre 257 e 1.024 bytes, fazendo com que a tentativa de hash falhe e retorne um asterisco. O daemon sshd então compara esse resultado com o asterisco armazenado no campo de senha da conta, levando a um login bem-sucedido. É importante notar que a exploração bem-sucedida requer pelo menos uma conta com um asterisco como hash de senha e não permite que atacantes contornem senhas em contas com hashes válidos. A empresa Safe Security afirmou que um ataque SSHole bem-sucedido concede acesso com as permissões existentes da conta comprometida, e que as consequências para empresas dependem dos privilégios dessa conta. Embora o acesso SSH não autorizado seja o impacto imediato, os atacantes podem também obter acesso a credenciais de implantação, segredos de aplicativos e infraestrutura conectada, potencialmente permitindo movimento lateral ou interrupção de serviços. A vulnerabilidade não afeta o Dropbear, distribuições Linux baseadas em glibc, sistemas não Linux e sistemas que verificam senhas através do PAM. A Previdian relatou ter observado a primeira tentativa de exploração menos de nove horas após a publicação da CVE, confirmando acesso root bem-sucedido em um honeypot executando Alpine Linux e OpenSSH.

Dados de telemetria mostram um total de oito tentativas de exploração a partir de um endereço IP geolocalizado no Japão. Ryan Dewhurst, fundador e CEO da Previdian, declarou que o IP de origem observado, 89.116.89[.]18, usou senhas excessivamente longas para contornar a autenticação e executou comandos de reconhecimento, incluindo id, uname e hostname, através de sessões SSH não interativas. Os usuários afetados são aconselhados a instalar o OpenSSH 10.6p2 ou o pacote corrigido de sua distribuição e, em seguida, reiniciar o sshd. O Alpine também recomenda que os usuários investiguem entradas de log "Accepted password for" envolvendo contas que não devem aceitar logins por senha. O Alpine instruiu a procurar em /var/log/messages por linhas do sshd lendo "Accepted password for" uma conta sem senha, como alpine, root ou qualquer usuário apenas com chave, e a revisar o uso de doas e usuários, arquivos e chaves autorizadas criados recentemente em máquinas expostas, tratando a máquina como comprometida se não for possível descartar um login.