Hackare utnyttjar säkerhetsbrist i OpenSSH för att få root-åtkomst

Hotaktörer försöker utnyttja en nyligen offentliggjord säkerhetsbrist i OpenSSH som kan möjliggöra inloggningar till konton som saknar inställt lösenord, enligt Previdian.

Sårbarheten, som spåras som CVE-2026-123158 med ett CVSS-poäng på 8.1 och kodnamnet SSHole, påverkar Linux-system som kör OpenSSH på C-biblioteket musl med inaktiverade Pluggable Authentication Modules, PAM. Detta inkluderar standardkonfigurationen för OpenSSH-servern i Alpine Linux.

En oautentiserad angripare kan ange ett för stort lösenord för att få åtkomst till konton som medvetet är konfigurerade utan användbara lösenord, utan att behöva stjäla inloggningsuppgifter eller SSH-nycklar. Problemet, som upptäcktes av säkerhetsforskaren Ozgun Kultekin, har åtgärdats i OpenSSH 10.6p2.

Det underliggande problemet härstammar från en korrigering som infördes 2016 för att åtgärda en sårbarhet för användarnamnsuppräkning, spårad som CVE-2016-6210. Under specifika förhållanden tolkar lösenordshanteringen i OpenSSH felaktigt en misslyckad lösenordshashningsoperation som en lyckad autentisering genom att producera samma värde, en asterisk, som används för att indikera att ett konto har lösenordet inaktiverat på systemnivå.

En angripare kan utlösa sårbarheten för att autentisera sig till vissa konton med inaktiverat lösenord genom att använda ett godtyckligt lösenord mellan 257 och 1 024 byte långt. Detta får hashförsöket att misslyckas och returnera en asterisk, vilket sshd-daemonen sedan jämför med asterisken i kontots lösenordsfält, vilket leder till en lyckad inloggning. Lyckad exploatering kräver minst ett konto med en asterisk som lösenordshash och tillåter inte angripare att kringgå lösenord på konton med giltiga lösenordshashar.

Safe Security uppger att en lyckad SSHole-attack ger åtkomst med det kompromitterade kontots befintliga behörigheter. För företag beror konsekvenserna på behörigheterna för det drabbade kontot. Utöver obehörig SSH-åtkomst kan angripare få tillgång till utplaceringsuppgifter, applikationshemligheter och ansluten infrastruktur, vilket potentiellt möjliggör lateral förflyttning eller tjänsteavbrott.

Sårbarheten påverkar inte Dropbear, Linux-distributioner baserade på glibc, icke-Linux-system eller system som kontrollerar lösenord via PAM. Previdian observerade det första försöket till exploatering mindre än nio timmar efter att CVE publicerats och har bekräftat lyckad root-åtkomst på en honeypot som kör Alpine Linux och OpenSSH. Telemetridata visar totalt åtta exploateringsförsök från en IP-adress lokaliserad till Japan.

Den observerade käll-IP-adressen använde för stora lösenord för att kringgå autentisering och körde rekognosceringskommandon, inklusive id, uname och hostname, via icke-interaktiva SSH-sessioner. Drabbade användare rekommenderas att installera OpenSSH 10.6p2 eller sin distributions korrigerade paket och sedan starta om sshd. Alpine rekommenderar även att användare undersöker loggposter för accepterade lösenord för konton som inte ska acceptera lösenordsinloggningar. Om en inloggning inte kan uteslutas bör maskinen behandlas som kompromitterad.