{"id":184154,"date":"2026-11-05T23:41:11","date_gmt":"2026-11-05T21:41:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/sshole-uyazvimost-pozvolyayushhaya-podklyuchitsya-po-ssh-bez-parolya-v-sistemah-s-musl"},"modified":"2026-11-05T23:41:15","modified_gmt":"2026-11-05T21:41:15","slug":"sshole-vulnerability-allows-passwordless-ssh-access-on-musl-based-systems","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/sshole-vulnerability-allows-passwordless-ssh-access-on-musl-based-systems","title":{"rendered":"SSHole \u2014 haavatavus, mis v\u00f5imaldab SSH-\u00fchendust luua paroolita s\u00fcsteemides, kus on Musl","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
OpenSSH arendajad avaldasid erakorralise uuenduse OpenSSH 10.6p2, mis lisab kaitse kriitilise haavatavuse (CVE ei ole m\u00e4\u00e4ratud), mille koodnimi on «SSHole» ja mis v\u00f5imaldab autentimise \u00fcmbersk\u00f5ndimist. Musl teegiga s\u00fcsteemides v\u00f5imaldab haavatavus \u00fchendada kasutajaga, kellel pole parooli, sisestades mis tahes parooli, mis sisaldab rohkem kui 256 m\u00e4rki. Probleem m\u00f5jutab Linuxi jaotusi, mis kasutavad standardset musl teeki, kuid ei kasuta PAM-i (Pluggable Authentication Modules), nagu OpenWRT, Alpine, Buildroot ja Yocto. Eriti ohtlik on see, et sageli on root-kasutajale parooliga sissep\u00e4\u00e4s blokeeritud, mis v\u00f5imaldab kellelgi kaug\u00fchendust luua administraatori \u00f5igustes.<\/p>\n
Haavatavust p\u00f5hjustav viga ei ole OpenSSH koodis, kuid seda kasutatakse \u00e4ra sshd kaudu. Probleemi t\u00f5siduse t\u00f5ttu pakutakse OpenSSH 10.6p2 versioonis lahendust haavatavuse blokeerimiseks. Haavatavates s\u00fcsteemides soovitatakse omanikel mitte oodata uuenduste ilmumist, vaid viivitamatult keelata parooliga autentimine parameetri «PasswordAuthentication no» lisamisega faili \/etc\/ssh\/sshd_config v\u00f5i t\u00e4ielikult SSH v\u00e4lja l\u00fclitamisega. <\/p>\n
Probleem ei avaldu mitte-Linuxi s\u00fcsteemides ja glibc-p\u00f5histes Linuxi keskkondades ning PAM-i kasutavates s\u00fcsteemides parooliautentimise jaoks. Parandus on juba saadaval Alpines ja OpenWRT-s.<\/p>\n
Haavatavus on seotud OpenSSH eba\u00f5ige koost\u00f6\u00f6ga crypt() funktsiooni ja musl vahel. Alates 2016. aastast on OpenSSH paroolita konto kontrollimisel kasutanud regulaarset paroolikontrolli protseduuri, et v\u00e4ltida kasutajate olemasolu tuvastamist p\u00e4ringute t\u00f6\u00f6tlemise ajavahede anal\u00fc\u00fcsi kaudu: see kutsub \u00fcles funktsiooni «crypt(edasikandmiseks, sool)» teise kasutaja soolaga, kellel on kehtiv parooli r\u00e4si, ja seej\u00e4rel v\u00f5rdleb funktsiooni crypt tagasitootud r\u00e4si parooli r\u00e4si v\u00e4lja v\u00e4\u00e4rtusega.<\/p>\n
Kuid musl-is tagastab funktsioon crypt() SHA-512 r\u00e4side puhul s\u00fcmboli «*», kui edastatud parooli pikkus \u00fcletab 256 baiti (see piirang kehtestati 2012. aastal DoS-r\u00fcnnakute kaitsmiseks, kuna suurte v\u00e4\u00e4rtuste edastamine p\u00f5hjustab suurt koormust CPU-le). Sama s\u00fcmbolit kasutatakse parooli r\u00e4si v\u00e4lja andmetes «\\\/etc\\\/shadow» kasutajakontode t\u00e4histamiseks, mille puhul on parooliga autentimine blokeeritud. <\/p>\n
R\u00fcnnaku tulemuseks v\u00f5ib SSH-serveriga \u00fchendust saanud r\u00fcndaja p\u00e4\u00e4seda ligi mis tahes kasutajakontole, mille parooliv\u00e4ljas asub s\u00fcmbol '*', edastades 257 kuni 1024 baitidest koosneva stringi. Probleem katab mitmeid olemasolevaid Docker-pilte, mis on loodud kasutades Alpine Linuxi, samuti Alpine vaikimisi pilte AWS ja Azure'i pilves\u00fcsteemides, kus root-kasutaja paroolihashi asemel on seadistatud s\u00fcmbol '*'. <\/p>\n
Oluline on m\u00e4rkida, et 2015. aastast alates olid ametlikes Docker-piltides, mis kasutasid Alpine'i, root-kasutaja parool algselt t\u00fchi, ja p\u00e4rast selle fakti avastamist seadistati paroolihashi asemel s\u00fcmbol '!'. Kuid selle olemasolu takistas sisse logimist SSH-sertifikaatidega, mist\u00f5ttu 2022. aastast asendati parooli sisselogimist blokeeriv s\u00fcmbol s\u00fcmboliga '*'. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"