---
title: 黑客在漏洞披露数小时内利用 OpenSSH SSHole 缺陷获取蜜罐根权限
url: https://www.dataloco.com/zh/openssh-sshole
published: 2026-11-09T04:22:53+00:00
language: zh
section: 安全
source: https://thehackernews.com/2026/11/hackers-exploited-openssh-sshole-flaw.html
organizations: OpenSSH, Previdian, Alpine Linux
publisher: Dataloco
---

# 黑客在漏洞披露数小时内利用 OpenSSH SSHole 缺陷获取蜜罐根权限

威胁行为者正试图利用一个最近披露的 OpenSSH 安全漏洞，该漏洞允许攻击者登录未设置密码的账户。

该漏洞被追踪为 CVE-2026-123158，代号为 SSHole，其 CVSS 评分为 8.1。它影响在 musl C 库上运行 OpenSSH 且禁用可插拔认证模块 (PAM) 的 Linux 系统，包括 Alpine Linux 的默认 OpenSSH 服务器配置。未经过身份验证的攻击者可以通过提供超长密码来访问故意配置为无可用密码的账户，而无需窃取凭据或 SSH 密钥。

此问题源于 2016 年为修复 CVE-2016-6210 用户名枚举漏洞而引入的补丁。在特定条件下，OpenSSH 的密码处理行为会将失败的密码哈希操作误认为成功的身份验证，因为它产生了一个星号，而该符号恰好被用于表示系统级禁用密码的账户。攻击者可以使用长度在 257 到 1,024 字节之间的任意密码触发此漏洞，导致哈希尝试失败并返回星号，随后 sshd 守护进程将其与账户密码字段中存储的星号进行比较，从而实现成功登录。

成功利用该漏洞要求至少有一个账户的密码哈希为星号，它不能绕过具有有效密码哈希账户的密码。成功攻击将授予受影响账户的现有权限。对于企业而言，后果取决于被攻破账户的权限，攻击者可能获取部署凭据、应用程序密钥和连接的基础设施，从而实现横向移动或服务中断。

Previdian 观察到在 CVE 发布后不到九小时就出现了首次利用尝试，并确认在运行 Alpine Linux 和 OpenSSH 的蜜罐上成功获取了根权限。遥测数据显示，一个地理位置位于日本的 IP 地址共发起了八次利用尝试。该 IP 使用超长密码绕过身份验证，并通过非交互式 SSH 会话运行了包括 id、uname 和 hostname 在内的侦察命令。

此漏洞不影响 Dropbear、基于 glibc 的 Linux 发行版、非 Linux 系统以及通过 PAM 检查密码的系统。受影响用户被建议安装 OpenSSH 10.6p2 或发行版的补丁包并重启 sshd。Alpine 建议用户检查日志中涉及不应接受密码登录账户的 Accepted password for 条目，并审查 doas 使用情况以及最近创建的用户、文件和授权密钥。

## This story in other languages

- [日本語](https://www.dataloco.com/ja/opensshsshole)