طبق گفته‌ی Previdian، عوامل تهدید در تلاش برای سوءاستفاده از یک نقص امنیتی اخیراً افشا شده در OpenSSH هستند که می‌تواند ورود به حساب‌هایی را که رمز عبوری ندارند، فعال کند.
این آسیب‌پذیری که با شناسه‌ی CVE-2026-123158 (امتیاز CVSS: 8.1) و با نام رمز SSHole (یا *sshole) ردیابی می‌شود، سیستم‌های لینوکسی را که OpenSSH را بر روی کتابخانه‌ی musl C با ماژول‌های احراز هویت قابل اتصال (PAM) غیرفعال اجرا می‌کنند، از جمله پیکربندی پیش‌فرض سرور OpenSSH در Alpine Linux، تحت تأثیر قرار می‌دهد.
یک مهاجم احراز هویت نشده می‌تواند یک رمز عبور بزرگ برای دسترسی به حساب‌هایی که عمداً بدون رمزهای عبور قابل استفاده پیکربندی شده‌اند، بدون نیاز به سرقت اعتبارنامه‌ها یا کلیدهای SSH، ارائه دهد. این مشکل در OpenSSH 10.6p2 برطرف شده است.
مشکل اساسی به وصله‌ای برمی‌گردد که در سال ۲۰۱۶ برای رفع آسیب‌پذیری با شناسه‌ی CVE-2016-6210 معرفی شد. تحت شرایط خاص، رفتار مدیریت رمز عبور در OpenSSH به اشتباه یک عملیات هش کردن رمز عبور ناموفق را به عنوان احراز هویت موفق تفسیر می‌کند و همان مقداری (*) را تولید می‌کند که برای نشان دادن یک حساب کاربری با رمز عبور غیرفعال در سطح سیستم استفاده می‌شود.
یک مهاجم می‌تواند با استفاده از یک رمز عبور دلخواه بین ۲۵۷ تا ۱۰۲۴ بایت، این آسیب‌پذیری را برای احراز هویت حساب‌های کاربری غیرفعال‌شده با رمز عبور فعال کند که باعث می‌شود تلاش برای هش کردن با شکست مواجه شود و یک ستاره برگرداند. سپس سرویس sshd با ستاره ذخیره‌شده در فیلد رمز عبور حساب مقایسه می‌شود و منجر به ورود موفقیت‌آمیز می‌شود.
برای روشن شدن موضوع، بهره‌برداری موفقیت‌آمیز نیاز به حداقل یک حساب کاربری با (*) به عنوان هش رمز عبور دارد. این امر به مهاجمان اجازه نمی‌دهد تا رمزهای عبور حساب‌های کاربری با هش‌های رمز عبور معتبر را دور بزنند.
Safe Security گفت: “یک حمله موفقیت‌آمیز SSHole با مجوزهای موجود حساب کاربری آسیب‌دیده، دسترسی را اعطا می‌کند. برای سازمان‌ها، عواقب SSHole به امتیازات حساب کاربری آسیب‌دیده بستگی دارد.”
“در حالی که دسترسی غیرمجاز SSH تأثیر فوری این حمله است، مهاجمان ممکن است به اعتبارنامه‌های استقرار، اسرار برنامه و زیرساخت‌های متصل نیز دسترسی پیدا کنند که به طور بالقوه امکان حرکت جانبی یا اختلال در سرویس را فراهم می‌کند.”
شایان ذکر است که این آسیب‌پذیری، Dropbear، توزیع‌های لینوکس مبتنی بر glibc، سیستم‌های غیرلینوکسی و سیستم‌هایی که رمزهای عبور را از طریق PAM بررسی می‌کنند، تحت تأثیر قرار نمی‌دهد.
شرکت اطلاعات تهدید Previdian اعلام کرد که اولین تلاش برای بهره‌برداری را کمتر از نه ساعت پس از انتشار CVE مشاهده کرده است و افزود که دسترسی root موفقیت‌آمیز به یک honeypot که Alpine Linux و OpenSSH را اجرا می‌کند، تأیید کرده است. داده‌های تله‌متری در مجموع هشت تلاش برای بهره‌برداری از یک آدرس IP با موقعیت جغرافیایی ژاپن را نشان می‌دهد.
به کاربران آسیب‌دیده توصیه می‌شود OpenSSH 10.6p2 یا بسته وصله شده توزیع خود را نصب کنند و سپس sshd را مجدداً راه‌اندازی کنند. Alpine همچنین به کاربران توصیه می‌کند که ورودی‌های لاگ «Accepted password for» مربوط به حساب‌هایی که نباید ورود با رمز عبور را بپذیرند، بررسی کنند. Alpine گفت: «در /var/log/messages به دنبال خطوط sshd با عنوان « Accepted password for برای حسابی که رمز عبور ندارد (Alpine، root یا هر key-only user)» بگردید. کاربران، فایل‌ها و کلیدهای مجاز ایجاد شده و اخیر در دستگاه‌های در معرض خطر را بررسی کنید. اگر نمی‌توانید ورود به سیستم را لغو کنید، دستگاه را در معرض آسیب در نظر بگیرید.»
منبع: