En ny sårbarhet i OpenSSH, kalt «*sshole», rammer enkelte Alpine Linux-systemer og andre Linux-distribusjoner som bruker musl-biblioteket. Under bestemte innstillinger kan en angriper logge inn på kontoer der passordpålogging er deaktivert.

Sårbarheten gjelder OpenSSH-servere på blant annet Alpine Linux, OpenWrt, Buildroot og Yocto. Den skal ha eksistert siden 2016 og skyldes måten OpenSSH håndterer feil ved passordverifisering på systemer som bruker musl.

Slik oppstår feilen

Linux-kontoer kan stenges for passordpålogging ved at passordfeltet i /etc/shadow erstattes med en stjerne (*). Siden dette ikke er en gyldig passordhash, skal ingen passord gi tilgang til kontoen.

En endring i OpenSSH fra 2016 skulle hindre angripere i å avsløre hvilke brukernavn som finnes, gjennom forskjeller i svartid. OpenSSH begynte derfor å utføre passordhashing også for kontoer uten en brukbar passordhash, inkludert kontoer med *.

Problemet er at musl-bibliotekets crypt()-funksjon også returnerer * når hashingen mislykkes. Det skjer blant annet når det innsendte passordet er lengre enn grensen på 256 byte. OpenSSH kan da sammenligne den returnerte stjernen med stjernen som allerede står lagret for kontoen, og godkjenne innloggingen.

Sårbarheten gir ikke mulighet til å omgå passord på kontoer som har en gyldig passordhash.

Kan gi root-tilgang i Alpine-bilder

Sikkerhetsforskeren Ozgun Kultekin, som oppdaget og offentliggjorde sårbarheten, advarer om at Alpine Linux’ offisielle skybilder for AWS og Azure har en berørt standardkonto kalt alpine. Kontoen har passordløs tilgang gjennom doas, noe som kan gjøre det mulig for en angriper å oppnå root-tilgang.

Systemer som bruker glibc, blant annet Debian, Ubuntu og Fedora, er ikke sårbare for dette angrepet. Det samme gjelder systemer som bruker PAM-autentisering.

Kultekin opplyser at sårbarheten ble oppdaget ved hjelp av AI-agenter som gjennomførte rundt 17 600 autentiseringstester med ulike OpenSSH-konfigurasjoner, ugyldige passordhasher og for lange passord.

Oppdatert i OpenSSH 10.6p2

Feilen er rettet i OpenSSH 10.6p2. Alpine Linux-administratorer anbefales å oppdatere OpenSSH-pakkene med kommandoen apk upgrade openssh.

Administratorer som ikke kan installere oppdateringen umiddelbart, kan redusere risikoen ved å deaktivere SSH-passordpålogging med PasswordAuthentication no i SSH-serverens konfigurasjon og deretter starte SSH-tjenesten på nytt.

Mulige tegn på utnyttelse kan undersøkes i SSH-loggene. Administratorer bør se etter vellykkede passordinnlogginger på kontoer som skal ha passordpålogging deaktivert. Dersom kontoen alpine har * i passordfeltet, men loggene viser en vellykket passordinnlogging, kan det tyde på at sårbarheten er utnyttet.