Jelszó nélküli fiókokba engedhet be egy OpenSSH-hiba
Egy hosszú, tetszőleges jelszó is elég lehet a belépéshez olyan fiókokba, amelyekhez nem tartozik használható jelszó. Az NBSZ NKI riasztása szerint az OpenSSH hibája főként egyes Alpine Linux-rendszereket érint; javítás és nyilvános próbaprogram is elérhető.
Nem minden OpenSSH-szerver érintett
A CVE-2026-123158 azonosítójú, *sshole néven ismert hiba a Portable OpenSSH 10.6p2 előtti, Linuxon futó sshd szolgáltatását érinti, ha a rendszer musl libc könyvtárat használ PAM nélkül. Az Alpine Linux ilyen rendszer, és az sshd-t futtató konténerek is érintettek lehetnek. Egyes beágyazott eszközök és hálózati berendezések esetében a gyártónál kell ellenőrizni az érintettséget.
A támadónak el kell érnie az SSH-szolgáltatást, de érvényes jelszóra vagy SSH-kulcsra nincs szüksége. A belépéshez a célfiók neve és egy 257-1024 bájt hosszú, tetszőleges jelszó használható, ha a többi feltétel is teljesül.
A jelszóellenőrzésnél egyezhet két érték
A hiba kihasználásához engedélyezett jelszavas hitelesítésre és legalább egy olyan helyi fiókra is szükség van, amelynek SHA-256 vagy SHA-512 alapú jelszólenyomata van. A célfiók jelszómezőjében eközben egyetlen * karakternek kell szerepelnie.
A musl a túl hosszú jelszót elutasítja, de a hibát egyetlen * karakterrel jelzi. Az Alpine ugyanezt tárolja a használható jelszó nélküli fiókoknál. Az sshd a két értéket egyezőnek láthatja, és sikeresnek tekintheti a bejelentkezést. A ! karakterrel zárolt fiókok nem érintettek.
Az NKI szerint a hiba gyökere a C-könyvtárban van, de az sshd-n keresztül használható ki. Az OpenSSH javítása megakadályozza, hogy a szolgáltatás négy karakternél rövidebb tárolt jelszólenyomatot fogadjon el egyezésként.
Egyes Alpine-képeken root jogosultság is elérhető
A riasztás példaként az Alpine alapképek root fiókját, a kizárólag kulcsos belépésre létrehozott fiókokat és egyes címtárból érkező felhasználókat említi. A root fiók jelszavas elérhetősége az sshd beállításától függ; az alapértelmezett beállítás megakadályozza az ilyen bejelentkezést.
Az Alpine tiny-cloud képek 3.18.11-3.24.3 verzióiban viszont az alapértelmezett alpine felhasználó jelszó nélkül használhatja a doas parancsot. Sikeres belépés esetén ez közvetlenül root jogosultsághoz vezethet.
Javítás és ellenőrzés az érintett rendszereken
Az NKI haladéktalan frissítést javasol. Az Alpine javított kiadásai között szerepel a 3.24.4, a 3.23.8, a 3.22.8 és a 3.21.10; a már nem támogatott 3.16-3.20 ágakhoz is érkezett javítás. A 3.16-nál régebbi kiadásokhoz nem várható javított csomag, ezeken újabb alaprendszerre kell váltani.
Az intézet a konfiguráció, a fiókok és az sshd naplójának átvizsgálását is javasolja. Ha egy * jelszómezős fióknál „Accepted password for” bejegyzés szerepel, az kompromittálódásra utalhat. A riasztás kiadásakor nem volt információ megerősített éles kihasználásról; a nyilvános próbaprogram létezése nem bizonyítja, hogy már támadásokban is használták a hibát.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum