SSHole — haavatavus, mis võimaldab SSH-ühendust luua paroolita süsteemides, kus on Musl

OpenSSH arendajad avaldasid erakorralise uuenduse OpenSSH 10.6p2, mis sisaldab kaitset kriitilise haavatavuse (CVE ei ole määratud), koodnimega "SSHole", mis võimaldab autentimise ületamist. Musl teegiga süsteemides võimaldab see haavatavus ühenduda kasutajaga, kellel pole parooli, sisestades mis tahes parooli, mis sisaldab rohkem kui 256 märki. Probleem mõjutab Linuxi jaotusi, mis kasutavad tavalist musl teeki, kuid ei kasuta PAM-i (Pluggable Authentication Modules), nagu OpenWRT, Alpine, Buildroot ja Yocto. Eriline oht on see, et sageli on juurkasutaja parooliga sisse logimine blokeeritud, mis võimaldab igal kaugel ühenduda administraatorite õigustega.

Haavatavust põhjustav viga ei ole OpenSSH koodis, kuid seda ära kasutatakse sshd kaudu. Arvestades probleemi tõsidust, on versioonis OpenSSH 10.6p2 pakutud lahendus haavatavuse blokeerimiseks. Probleemiga mõjutatud süsteemide omanikele soovitatakse mitte oodata uuenduste ilmus, vaid kohe keelata parooliga autentimine, kasutades parameetrit "PasswordAuthentication no" failis /etc/ssh/sshd_config või täielikult keelata SSH.

Probleem ei avaldu mitte-Linuxi süsteemides ja glibc-põhistes Linuxi keskkondades ning PAM-i kasutavates süsteemides parooliautentimise jaoks. Parandus on juba saadaval Alpines ja OpenWRT-s.

Haavatavus on seotud OpenSSH ja musl funktsiooni crypt() vale koostoimega. Alates 2016. aastast, et kaitsta kasutajate olemasolu tuvastamise eest, analüüsides päringute töötluse aja erinevusi, kasutab OpenSSH paroolita kasutajate kontrollimisel lahendust: kutsub funktsiooni "crypt(sisestatud parool, sool)" teise kasutaja soolaga, kellel on kehtiv parooli hash, seejärel võrreldakse funktsiooni crypt tagastatud hash-i parooli hash-i väljaga.

Kuid musl-funktsioon crypt() SHA-512 hashide jaoks tagastab sümboli "*", kui sisestatud parooli pikkus ületab 256 baiti (see piirang kehtestati 2012. aastal DoS-rünnakute kaitseks, kuna suurte väärtuste edastamine tekitab suure koormuse CPU-le). Sama sümbol kasutatakse parooli hash-i väljaga failis "/etc/shadow", et tähistada kontosid, mille jaoks parooliga autentimine on blokeeritud.

Rünnaku ajal, kui häkker suudab ühendada SSH-serveriga, saab ta ühendust võtta mis tahes kontoga, mille paroolifailis «/etc/shadow» on märgitud tähega «*», edastades 257 kuni 1024 ​​baiti pikkuse stringi. Probleem hõlmab paljusid olemasolevaid Docker-pilte, mis on loodud Alpine Linuxi abil, samuti OEM Alpine pilte pilvesüsteemide AWS ja Azure jaoks, kus root-kasutajal on paroolihasu asemel märgitud märk «*».

Oluline on märkida, et ametlikest Docker-piltidest, mis kasutavad Alpine'i, oli alates 2015. aastast root parool tühi ning pärast selle avastamist asendati paroolihash märgiga «!». Kuid selle olemasolu takistas sisse logimist SSH-võtmete kaudu, seetõttu asendati alates 2022. aastast parooliga sisse logimise blokeerimise sümbol märgiga «*».

Allikas: opennet.ru