黑客在漏洞披露数小时内利用 OpenSSH SSHole 缺陷获取蜜罐根权限

此问题源于 2016 年为修复 CVE-2016-6210 用户名枚举漏洞而引入的补丁。在特定条件下，OpenSSH 的密码处理行为会将失败的密码哈希操作误认为成功的身份验证，因为它产生了一个星号，而该符号恰好被用于表示系统级禁用密码的账户。攻击者可以使用长度在 257 到 1,024 字节之间的任意密码触发此漏洞，导致哈希尝试失败并返回星号，随后 sshd 守护进程将其与账户密码字段中存储的星号进行比较，从而实现成功登录。

成功利用该漏洞要求至少有一个账户的密码哈希为星号，它不能绕过具有有效密码哈希账户的密码。成功攻击将授予受影响账户的现有权限。对于企业而言，后果取决于被攻破账户的权限，攻击者可能获取部署凭据、应用程序密钥和连接的基础设施，从而实现横向移动或服务中断。

Previdian 观察到在 CVE 发布后不到九小时就出现了首次利用尝试，并确认在运行 Alpine Linux 和 OpenSSH 的蜜罐上成功获取了根权限。遥测数据显示，一个地理位置位于日本的 IP 地址共发起了八次利用尝试。该 IP 使用超长密码绕过身份验证，并通过非交互式 SSH 会话运行了包括 id、uname 和 hostname 在内的侦察命令。

此漏洞不影响 Dropbear、基于 glibc 的 Linux 发行版、非 Linux 系统以及通过 PAM 检查密码的系统。受影响用户被建议安装 OpenSSH 10.6p2 或发行版的补丁包并重启 sshd。Alpine 建议用户检查日志中涉及不应接受密码登录账户的 Accepted password for 条目，并审查 doas 使用情况以及最近创建的用户、文件和授权密钥。