OpenSSH исправила уязвимость обхода пароля в версии 10.6p2

Для атаки не нужны ни пароль учётной записи, ни SSH-ключ.

По данным Previdian, её датчики зарегистрировали 20 попыток эксплуатации с 13 IP-адресов из девяти стран в период с 6 по 8 ноября. Компания подчёркивает: эти события не доказывают, что цели были уязвимы или что злоумышленники получили доступ. Уязвимость добавили в каталог CISA Known Exploited Vulnerabilities 9 ноября.

GreyNoise сообщила о 16 успешных цепочках эксплуатации с шести исходных IP-адресов в защищаемых ею сетях. Исследователи предупредили, что их данные не отражают весь масштаб атак. На ловушках исследователя SANS Йоханнеса Ульриха 5 ноября зафиксировали 232 запроса с длинными паролями, а 6 ноября их число выросло до 713. Эти запросы нельзя считать числом успешных взломов или отдельных атакующих.

Ошибка проявляется, когда OpenSSH работает с musl libc без механизма проверки паролей PAM. Среди затронутых конфигураций исследователи называют системы на Alpine Linux. Для обхода нужны включённая проверка пароля, учётная запись, у которой в поле пароля хранится символ «*», и другая локальная запись с действительным хешем пароля SHA-crypt. Учётные записи с действительными хешами таким способом не обходятся.

Атакующий отправляет длинный пароль для записи со звёздочкой вместо хеша. При обработке такого ввода функция musl может вернуть «*» как обозначение ошибки, а OpenSSH ошибочно принимает его за совпадение с сохранённым значением. Описанный диапазон атакующего ввода составляет от 257 до 1024 байт. Если скомпрометированная запись имеет административные права без запроса пароля, атака может привести к доступу с правами root.

Уязвимость SSHole: обновление и проверка систем

Разработчики исправили ошибку в OpenSSH 10.6p2, выпущенной 5 ноября; для Alpine также вышли исправленные пакеты. Администраторам рекомендуют установить обновление своего дистрибутива и перезапустить sshd. Проверять нужно редакцию установленного пакета: исправление могут перенести в пакет, который по-прежнему показывает более старую версию OpenSSH.

Если обновление приходится отложить, параметр PasswordAuthentication no закрывает этот путь атаки, отключая вход по паролю. Проверки StepSecurity также подтвердили защиту в конфигурациях, где проверка паролей проходит через PAM. Эти меры относятся к конкретным условиям эксплуатации SSHole, а не ко всем возможным атакам на SSH.

При проверке журналов исследователи советуют искать успешный вход по паролю в учётные записи, для которых в поле пароля указан «*». Нужно также проверить сеансы, где после неудачной попытки следует успешная, и неожиданные SSH-ключи. В атаках, изученных GreyNoise, злоумышленники пытались читать хеши паролей и ключи root, менять файлы authorized_keys и обращаться к сервисам метаданных облачной среды. В одном случае они получили права root и установили агент TAC Agent, но тот не смог связаться со своим управляющим сервером и не получил заданий.

В материале от 5 ноября обнаружили уязвимость на стыке OpenSSH и musl; тогда сообщалось, что разработчики выпустили исправление в тот же день. Сегодняшняя новость уточняет, что исправление вошло в OpenSSH 10.6p2.