Уязвимость sshhole в OpenSSH на musl Linux: что нужно знать

Информационная безопасность столкнулась с новой угрозой: исследователи раскрыли критическую уязвимость под названием sshhole. Проблема затрагивает OpenSSH на системах с базовой библиотекой musl Linux, включая популярные дистрибутивы Alpine, OpenWrt, Buildroot и Yocto, а также многочисленные Docker-образы.

• Уязвимость существует с 2016 года и позволяет получить несанкционированный доступ.
• Затронуты учетные записи без обычного пароля на musl-системах.
• Проблема проявляется при вводе длинных строк от 257 до 1024 символов.
• Дистрибутивы на glibc и системы с PAM находятся в безопасности.

Суть уязвимости sshhole и механизм атаки

Учетные записи, которые в принципе не должны требовать пароля — такие как root, пользователи для развертывания с SSH-ключами, аккаунты из LDAP или стандартный пользователь в образах Alpine для AWS и Azure — начинают принимать абсолютно любой пароль, если его длина превышает 256 символов. Точнее говоря, система принимает любую строку длиной от 257 до 1024 символов в качестве валидного пароля для таких аккаунтов.

Для успешной реализации атаки должны совпасть несколько условий. Работает ли ваш sshd в среде с musl Linux? Не используется ли при этом PAM, так как в Alpine пакет openssh-server по умолчанию настроен без него? Есть ли в системе учетная запись со знаком звездочки вместо пароля и присутствует ли другой аккаунт с полноценным паролем?

Масштабы проблемы и затронутые системы

Особую опасность уязвимость представляет в официальных облачных окружениях. Например, в официальных образах Alpine Linux для AWS и Azure такая конфигурация присутствует у пользователя по умолчанию по имени alpine. Этот пользователь к тому же имеет расширенные привилегии и может выполнять команды через утилиту doas без ввода пароля, что фактически дает злоумышленнику права суперпользователя root.

Стоит отметить, что разработчики и пользователи стандартных дистрибутивов общего назначения могут спать спокойно. Если вы используете Debian, Ubuntu, Fedora или любой другой дистрибутив на базе библиотеки glibc, если у вас в системе корректно настроен PAM, либо если вы применяете альтернативные реализации вроде dropbear или OpenSSH в чистой реализации OpenBSD, вы находитесь в полной безопасности.

Что это значит для администраторов и бизнеса

Обнаружение sshhole подчеркивает важность регулярного аудита инфраструктуры, особенно при использовании легковесных контейнеров и минималистичных дистрибутивов в продакшене. Администраторам облачных серверов на базе Alpine Linux рекомендуется срочно проверить конфигурацию sshd, убедиться в наличии модуля PAM или обновить пакеты OpenSSH до актуальных безопасных версий, чтобы предотвратить потенциальный несанкционированный доступ к критическим узлам.