{"id":184154,"date":"2026-11-05T23:41:11","date_gmt":"2026-11-05T21:41:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/sshole-uyazvimost-pozvolyayushhaya-podklyuchitsya-po-ssh-bez-parolya-v-sistemah-s-musl"},"modified":"2026-11-05T23:41:15","modified_gmt":"2026-11-05T21:41:15","slug":"sshole-vulnerability-allows-passwordless-ssh-access-on-musl-based-systems","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/sshole-vulnerability-allows-passwordless-ssh-access-on-musl-based-systems","title":{"rendered":"SSHole \u2014 een kwetsbaarheid die het mogelijk maakt om verbinding te maken via SSH zonder wachtwoord in systemen met Musl","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De ontwikkelaars van OpenSSH hebben een noodupdate van OpenSSH 10.6p2 uitgebracht, die bescherming biedt tegen een kritieke kwetsbaarheid (CVE nog niet toegewezen), met de codenaam «SSHole», die de authenticatie kan omzeilen. In systemen met de Musl-bibliotheek stelt deze kwetsbaarheid een gebruiker in staat om zich aan te melden met een wachtwoord dat geen wachtwoord heeft, door een willekeurig wachtwoord in te voeren dat meer dan 256 tekens bevat. Het probleem treft Linux-distributies die de standaard bibliotheek musl gebruiken, maar geen PAM (Pluggable Authentication Modules) zoals OpenWRT, Alpine, Buildroot en Yocto. Het is bijzonder zorgwekkend omdat de toegang met een wachtwoord vaak wordt geblokkeerd voor de rootgebruiker, wat elke externe toegang met administratorrechten mogelijk maakt.<\/p>\n
De fout die leidt tot de kwetsbaarheid zit niet in de OpenSSH-code, maar wordt ge\u00ebxploiteerd via sshd. Gezien de ernst van het probleem is in versie OpenSSH 10.6p2 een workaround aangeboden om de kwetsbaarheid te blokkeren. Eigenaren van getroffen systemen wordt aanbevolen om niet te wachten op updates, maar onmiddellijk de wachtwoordauthenticatie uit te schakelen via de parameter «PasswordAuthentication no» in \/etc\/ssh\/sshd_config of SSH volledig uit te schakelen. <\/p>\n
Het probleem doet zich niet voor in systemen die anders zijn dan Linux, en in Linux-omgevingen op basis van glibc, evenals in systemen die PAM gebruiken voor wachtwoordauthenticatie. Een oplossing is al beschikbaar in Alpine en OpenWRT.<\/p>\n
De kwetsbaarheid houdt verband met de onjuiste interactie tussen OpenSSH en de functie crypt() uit musl. Sinds 2016 gebruikt OpenSSH bij de controle van gebruikersaccounts zonder wachtwoord een standaard procedure voor wachtwoordverificatie: het roept de functie «crypt(gegeven wachtwoord, zout)» aan met het zout van een andere gebruiker die een geldige wachtwoordhash heeft, en vergelijkt daarna de hash die door de crypt-functie wordt teruggegeven met de waarde uit het veld met de wachtwoordhash.<\/p>\n
Echter, in musl retourneert de functie crypt() voor SHA-512-hashes het teken «*», indien de lengte van het opgegeven wachtwoord meer dan 256 byte bedraagt (de beperking is in 2012 ingevoerd ter bescherming tegen DoS-aanvallen, omdat het verzenden van grote waarden een hoge belasting op de CPU met zich meebrengt). Ditzelfde teken wordt in het veld met de wachtwoordhash in «\/etc\/shadow» gebruikt om aan te geven dat de authenticatie met een wachtwoord is geblokkeerd voor accounts. <\/p>\n
Als gevolg hiervan kan een aanvaller die kan verbinden met een SSH-server, zich aansluiten bij elk account waarbij in '\/etc\/shadow' het wachtwoordveld het teken '*' bevat, door een tekenreeks van 257 tot 1024 bytes te verzenden. Dit probleem betreft vele bestaande Docker-images die zijn gebouwd met Alpine Linux, evenals de standaard Alpine-images voor cloudsystemen zoals AWS en Azure, waar het root-gebruikersaccount in plaats van een wachtwoordhash het teken '*' heeft. <\/p>\n
Opmerkelijk is dat in de offici\u00eble Docker-images die Alpine gebruiken, vanaf 2015 oorspronkelijk een leeg wachtwoord voor root was ingesteld, en na ontdekking van dit feit werd in plaats van de wachtwoordhash het teken '!' ingesteld. Maar het gebruik daarvan blokkeerde de toegang met SSH-sleutels, waardoor sinds 2022 het teken voor het blokkeren van wachttoegang is vervangen door '*'. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"