SSHole u OpenSSH-u brzo iskorišćen za root pristup na Alpine Linuxu
Previdian je zabeležio prvi pokušaj iskorišćavanja ranjivosti CVE-2026-123158, poznate kao SSHole, za manje od devet sati od objave CVE-a, a na honeypotu sa Alpine Linuxom i OpenSSH-om potvrdio je root pristup. Propust ima CVSS ocenu 8,1, otklonjen je u izdanju OpenSSH 10.6p2, a telemetrija je zabeležila ukupno osam pokušaja sa IP adrese geolocirane u Japanu.
SSHole pogađa Linux sisteme koji koriste OpenSSH sa musl C bibliotekom i isključenim Pluggable Authentication Modules mehanizmom, odnosno PAM-om. Među pogođenim podešavanjima je podrazumevana konfiguracija OpenSSH servera u Alpine Linuxu. Ne utiče na Dropbear, Linux distribucije zasnovane na glibc-u, nelinuks sisteme ni sisteme koji proveravaju lozinke preko PAM-a.
Kako dolazi do prijave bez kredencijala
Ranjivost je otkrio istraživač Ozgun Kultekin. Njena osnova je u zakrpi uvedenoj 2016. godine za CVE-2016-6210, propust koji je omogućavao enumeraciju korisničkih imena. U određenim uslovima OpenSSH pogrešno tumači neuspeh pri računanju hash vrednosti lozinke kao uspešnu autentikaciju.
Napadač bez prethodne autentikacije može poslati proizvoljnu lozinku dugu od 257 do 1.024 bajta. Takav unos izaziva neuspeh hashiranja i vraća vrednost „*”, istu oznaku koja se koristi kada nalog na nivou sistema nema upotrebljivu lozinku. Kada sshd tu vrednost uporedi sa zvezdicom u polju lozinke naloga, prijava može uspeti.
Ograničenje je važno: za uspešnu eksploataciju mora postojati najmanje jedan nalog čiji je hash lozinke zvezdica. SSHole ne omogućava zaobilaženje lozinke naloga sa važećim hashom. Dobijeni pristup ima postojeće privilegije kompromitovanog naloga, pa posledice zavise od njegovih ovlašćenja.
Šta pokazuje zabeležena aktivnost
Previdian navodi da je izvorna IP adresa koristila predugačke lozinke za zaobilaženje autentikacije, a zatim kroz neinteraktivne SSH sesije pokretala komande id, uname i hostname. Uspešan pristup nalogu može otvoriti put do kredencijala za isporuku softvera, aplikativnih tajni i povezane infrastrukture, kao i do bočnog kretanja ili prekida usluga.
Organizacije treba da instaliraju OpenSSH 10.6p2 ili zakrpljeni paket svoje distribucije, a zatim ponovo pokrenu sshd. Alpine preporučuje proveru unosa „Accepted password for” u /var/log/messages za naloge koji ne bi trebalo da prihvataju prijavu lozinkom, poput alpine, root ili naloga namenjenih samo ključevima.
Operativni koraci posle zakrpe
Potrebno je pregledati upotrebu alata doas, novokreirane korisnike, datoteke i authorized_keys na izloženim mašinama. Kontekst je posebno važan jer eskalacija privilegija iz kontejnera Ubuntu pokazuje da put do root privilegija može početi u sloju koji se često smatra ograničenim. Ako se prijava ne može isključiti, Alpine savetuje da se sistem tretira kao kompromitovan.
Praktičan poslovni zaključak je da popis Alpine sistema, provera konfiguracije PAM-a i naloga bez upotrebljivih lozinki, hitna nadogradnja i pregled evidencije prijava moraju ići zajedno, jer sama instalacija zakrpe ne utvrđuje da li je pristup već ostvaren.