Пароль отключили, а вход остался. OpenSSH допустила ошибку с одной звёздочкой

Разработчики OpenSSH выпустили экстренное обновление 10.6p2 для устранения уязвимости SSHhole, которая открывала доступ к защищённым аккаунтам Linux с помощью одной произвольной строки длиной от 257 байт. Ирония ошибки CVE-2026-123158 заключается в том, что жертвами атаки становятся учётные записи, которым администраторы принудительно запретили вход по паролю ради безопасности и оставили только авторизацию по SSH-ключам.

При такой настройке в системном файле теневых паролей вместо хеша ставится символ звёздочки, который в штатном режиме блокирует любые попытки подобрать комбинацию для входа. Однако при проверке логина в сборках OpenSSH без модулей PAM сервер берёт соль другого пользователя для маскировки времени ответа и передаёт введённые данные функции шифрования из библиотеки musl. Если отправить на вход строку длиннее 256 байт, функция в musl возвращает точно такую же звёздочку в качестве признака ошибки, после чего SSH-сервер сравнивает два одинаковых символа и засчитывает успешную авторизацию.

Несмотря на пугающую простоту эксплуатации, в реальной инфраструктуре атака сработает только при одновременном совпадении нескольких специфических условий. Сервер должен работать на базе библиотеки musl вместо стандартной для большинства дистрибутивов glibc, использовать сборку OpenSSH без поддержки PAM, разрешать парольный вход и содержать хотя бы один соседний аккаунт с хешем SHA-256 или SHA-512. Поэтому владельцам серверов на Debian, Ubuntu и Fedora беспокоиться не о чем, тогда как администраторам легковесных сборок потребуется срочно обновить пакеты и перезапустить службу sshd.

#OpenSSH, #Linux, #уязвимости
@SecLabNews