مهاجمان ظرف چند ساعت از نقص SSHole در OpenSSH بهره‌برداری کردند؛ دسترسی روت روی یک هانی‌پات
اخبار داغ فناوری اطلاعات و امنیت شبکهورود به حساب‌های بدون رمز عبور با یک رمز بیش‌ازحد طولانی؛ وصله در OpenSSH 10.6p2
عوامل تهدید در حال تلاش برای بهره‌برداری از یک نقص امنیتی تازه‌افشاشده در OpenSSH هستند که امکان ورود به حساب‌هایی را فراهم می‌کند که هیچ رمز عبوری ندارند. این گزارش را شرکت Previdian منتشر کرده است.
مشخصات آسیب‌پذیری
این نقص با شناسه CVE-2026-123158 (امتیاز CVSS: ۸.۱) و نام رمز SSHole (یا *sshole) ردیابی می‌شود. سیستم‌های لینوکسی را تحت تأثیر قرار می‌دهد که OpenSSH را روی کتابخانه C با نام musl اجرا می‌کنند و ماژول‌های احراز هویت قابل‌اتصال (PAM) در آن‌ها غیرفعال است؛ از جمله پیکربندی پیش‌فرض سرور OpenSSH در Alpine Linux.
یک مهاجم بدون احراز هویت می‌تواند با ارسال یک رمز عبور بیش‌ازحد طولانی، به حساب‌هایی که عمداً بدون رمز عبور قابل‌استفاده پیکربندی شده‌اند دسترسی پیدا کند، بدون این‌که نیازی به سرقت اعتبارنامه یا کلید SSH باشد. این مشکل را پژوهشگر امنیتی اوزگون کولتکین (Ozgun Kultekin) کشف کرده و در OpenSSH 10.6p2 برطرف شده است.
ریشه مشکل: وصله‌ای از سال ۲۰۱۶
ریشه این نقص به یک وصله در سال ۲۰۱۶ برمی‌گردد که برای رفع یک آسیب‌پذیری شمارش نام کاربری (CVE-2016-6210) معرفی شد. در شرایط خاص، رفتار OpenSSH در مدیریت رمز عبور، شکست یک عملیات هش‌کردن رمز را به‌اشتباه موفقیت احراز هویت تفسیر می‌کند؛ چون در این حالت همان مقداری تولید می‌شود («*») که برای نشان دادن حسابی با رمز عبور غیرفعال در سطح سیستم به کار می‌رود.
مهاجم می‌تواند با یک رمز عبور دلخواه به طول ۲۵۷ تا ۱٬۰۲۴ بایت، باعث شکست هش شود و ستاره بازگردد. سپس دیمن sshd آن را با ستاره ذخیره‌شده در فیلد رمز عبور حساب مقایسه می‌کند و ورود موفق ثبت می‌شود.
محدودیت‌های مهم
بهره‌برداری موفق نیازمند حداقل یک حساب با ستاره (*) به‌عنوان هش رمز عبور است. این نقص به مهاجم اجازه نمی‌دهد رمز عبور حساب‌هایی را که هش معتبر دارند دور بزند.
چه سیستم‌هایی تحت تأثیر نیستند؟
این آسیب‌پذیری شامل موارد زیر نمی‌شود:
- Dropbear
- توزیع‌های لینوکسی مبتنی بر glibc
- سیستم‌های غیرلینوکسی
- سیستم‌هایی که رمز عبور را از طریق PAM بررسی می‌کنند
چه اتفاقی می‌افتد پس از ورود موفق؟
شرکت Safe Security توضیح می‌دهد یک حمله SSHole موفق، دسترسی را با مجوزهای موجود همان حساب فراهم می‌کند؛ بنابراین پیامدها برای سازمان‌ها به سطح دسترسی حساب به‌خطرافتاده بستگی دارد. افزون بر دسترسی غیرمجاز SSH، مهاجمان ممکن است به اعتبارنامه‌های استقرار، اسرار اپلیکیشن و زیرساخت‌های متصل دسترسی یابند و حرکت جانبی یا اختلال در سرویس را ممکن کنند.
بهره‌برداری در کمتر از ۹ ساعت
Previdian اعلام کرده نخستین تلاش بهره‌برداری را کمتر از ۹ ساعت پس از انتشار CVE مشاهده کرده و دسترسی موفق روت را روی یک هانی‌پات اجراکننده Alpine Linux و OpenSSH تأیید کرده است. تله‌متری این شرکت در مجموع هشت تلاش بهره‌برداری را از یک آدرس IP با موقعیت جغرافیایی ژاپن ثبت کرده است.
رایان دیوهرست، بنیان‌گذار و مدیرعامل Previdian، می‌گوید آدرس مبدأ (89.116.89[.]18) از رمزهای عبور بیش‌ازحد طولانی برای دور زدن احراز هویت استفاده کرد و فرمان‌های شناسایی id، uname و hostname را از طریق نشست‌های غیرتعاملی SSH اجرا نمود.
چه باید کرد؟
کاربران آسیب‌دیده باید OpenSSH 10.6p2 یا بسته وصله‌شده توزیع خود را نصب کنند و سپس sshd را ری‌استارت نمایند.
توصیه‌های Alpine برای بررسی نفوذ احتمالی
توزیع Alpine پیشنهاد می‌کند ورودی‌های لاگ «Accepted password for» مربوط به حساب‌هایی که نباید ورود با رمز عبور را بپذیرند بررسی شود:
- در
/var/log/messagesبه‌دنبال خطوطsshdبا عبارت «Accepted password for» برای حسابی بدون رمز عبور بگردید (مثلalpine،rootیا هر کاربر فقط‌کلیدی). - استفاده از
doas، کاربران، فایل‌ها و کلیدهای مجاز (authorized_keys) تازه‌ساخته‌شده را روی ماشین‌های در معرض دید بازبینی کنید. - اگر نمی‌توانید احتمال ورود را رد کنید، ماشین را آلوده در نظر بگیرید.
چرا این گزارش اهمیت دارد؟
نخست، سرعت بهره‌برداری: کمتر از ۹ ساعت از انتشار CVE تا نخستین تلاش — و تأیید دسترسی روت روی هانی‌پات — نشان می‌دهد پنجره زمانی میان افشا و حمله عملاً از میان رفته است. دوم، ریشه قدیمی: وصله‌ای که در سال ۲۰۱۶ برای رفع یک مشکل ساخته شد، نزدیک به یک دهه بعد خود منشأ آسیب‌پذیری تازه‌ای شد؛ نمونه‌ای از این‌که رفع یک باگ می‌تواند باگ دیگری را در شرایط خاص ایجاد کند.
سوم، شرط‌های محدودکننده: نقص فقط روی musl بدون PAM و فقط برای حساب‌هایی با هش ستاره (مثل برخی حساب‌های سیستمی یا حساب‌های فقط‌کلیدی) کار می‌کند؛ بنابراین دامنه واقعی تأثیر، به‌مراتب کوچک‌تر از «همه سرورهای OpenSSH» است. اما Alpine Linux — توزیعی بسیار محبوب در کانتینرها و زیرساخت‌های ابری — با پیکربندی پیش‌فرضش در این دامنه قرار می‌گیرد، و همین نقص را به موضوعی مهم برای محیط‌های کانتینری تبدیل می‌کند.
توصیه‌های امنیتی
- OpenSSH 10.6p2 یا بسته وصله‌شده توزیع خود را نصب و
sshdرا ری‌استارت کنید. - در Alpine Linux و تصاویر کانتینری مبتنی بر آن، به‌روزرسانی تصاویر پایه را در اولویت قرار دهید.
- حساب‌های بدون رمز عبور قابل‌استفاده (هش ستاره) را شناسایی کنید و در صورت امکان، ورود با رمز عبور را در
sshd_configبرای آن‌ها غیرفعال کنید (PasswordAuthentication no). - لاگ‌ها را برای ورودهای موفق با رمز عبور به حساب‌هایی که نباید رمز بپذیرند بررسی کنید.
- ارتباط با آدرس
89.116.89[.]18را در لاگ‌ها جست‌وجو و مسدود کنید. - روی ماشین‌هایی که احتمال ورود در آن‌ها رد نمی‌شود، کاربران جدید، فایل‌های تازه‌ساخته و کلیدهای مجاز را وارسی کنید و در صورت شک، ماشین را بازسازی کنید.
- دسترسی SSH به سرورها را تا حد ممکن به شبکه‌های مورد اعتماد محدود کنید و از ورود فقط‌با‌کلید استفاده نمایید.
جمع‌بندی
SSHole نمونه‌ای از یک آسیب‌پذیری محدود اما جدی است: شرایط فنی خاص (musl بدون PAM و حساب با هش ستاره) دامنه آن را محدود می‌کند، اما در Alpine Linux با تنظیمات پیش‌فرض، بهره‌برداری عملی است و در کمتر از ۹ ساعت پس از افشا، به دسترسی روت روی یک هانی‌پات رسید. وصله OpenSSH 10.6p2 در دسترس است؛ مدیران سیستم باید فوراً به‌روزرسانی کنند، sshd را ری‌استارت نمایند و لاگ‌ها را برای ورودهای مشکوک بازبینی کنند.
برچسب ها: امنیت_اطلاعات, امنیت_سایبری, OpenSSH, Cyberattack, cybersecurity, حمله سایبری, news