OpenSSH zaifligi: Linux tizimlarida parol himoyasini chetlab o'tish

Xavfsizlik bo'yicha tadqiqotchi Ozgюн Kultekin OpenSSH tizimida *sshole deb nomlangan yangi zaiflikni aniqladi. Ushbu xatolik musl C kutubxonasidan foydalanadigan Linux distributivlarida parol autentifikatsiyasi o'chirilgan akkauntlarga ruxsatsiz kirishga imkon beradi.

• Zaiflik Alpine Linux, OpenWrt, Buildroot va Yocto kabi musl-asosidagi tizimlarga ta'sir qiladi.
• Hujum juda uzun parolni kiritish orqali amalga oshiriladi.
• Muammo 2016-yildan buyon mavjud bo'lgan OpenSSH kodidagi o'zgarishlar bilan bog'liq.
• PAM autentifikatsiyasi o'chirilgan tizimlar eng katta xavf ostida.

*sshole zaifligi qanday ishlaydi? Ushbu muammo 2016-yilda CVE-2016-6210 zaifligini tuzatish uchun kiritilgan yamoq (patch) tufayli kelib chiqqan. O'sha paytda ishlab chiquvchilar foydalanuvchi nomlarini aniqlashni qiyinlashtirish uchun tizim paroli o'chirilgan bo'lsa ham xashlash jarayonini amalga oshiradigan qilishgan. Musl C kutubxonasidagi crypt() funksiyasi parolni xashlay olmaganda yoki parol 256 baytdan oshib ketganda '*' belgisini qaytaradi. Agar akkaunt /etc/shadow faylida parol o'rniga '*' belgisi bo'lsa, OpenSSH kiritilgan xato xashni tizim xashi bilan solishtirib, foydalanuvchini muvaffaqiyatli autentifikatsiya qilingan deb hisoblaydi.

Xavf ostidagi tizimlar va oqibatlar Eng katta xavf Alpine Linux'ning AWS va Azure'dagi rasmiy obrazlarida mavjud bo'lgan 'alpine' foydalanuvchisiga tegishli. Ushbu foydalanuvchi 'doas' imtiyozlariga ega bo'lgani uchun hujumchi darhol root darajasidagi kirish huquqini qo'lga kiritishi mumkin. Debian, Ubuntu va Fedora kabi glibc asosidagi tizimlar bu zaiflikdan himoyalangan. Tadqiqotchi bu muammoni sun'iy intellekt agentlari yordamida 17 600 dan ortiq autentifikatsiya testlarini o'tkazish orqali aniqlagan.

Himoya choralari va yangilanishlar OpenSSH 10.6p2 versiyasida ushbu zaiflik bartaraf etilgan. Administratorlar 'apk upgrade openssh' buyrug'i orqali tizimni yangilashlari shart. Agar zudlik bilan yangilash imkoni bo'lmasa, SSH konfiguratsiya faylida 'PasswordAuthentication no' parametrini o'rnatish va SSH xizmatini qayta ishga tushirish orqali tizimni vaqtincha himoya qilish mumkin. Shuningdek, tizim jurnallarini (log) tekshirish orqali shubhali kirish urinishlarini aniqlash tavsiya etiladi. Agar loglarda paroli o'chirilgan akkauntga muvaffaqiyatli kirish qayd etilgan bo'lsa, tizim kompromitatsiya qilingan bo'lishi mumkin.

O'zbekistonlik tizim administratorlari uchun ahamiyati O'zbekistondagi server infratuzilmasida Alpine Linux ko'pincha Docker konteynerlari va mikroservislar uchun ishlatiladi. Ushbu zaiflik konteynerlarning xavfsizligini ta'minlashda nafaqat tashqi xavfsizlik devorlari, balki tizim ichidagi autentifikatsiya konfiguratsiyalari ham muhimligini ko'rsatadi. Bulutli texnologiyalardan foydalanayotgan kompaniyalar o'zlarining SSH sozlamalarini qayta ko'rib chiqishlari va kerakli patchlarni o'rnatishlari tavsiya etiladi.