Ing. Calogero Bono
OpenSSH की SSHole खामी, जिसे CVE-2026-123158 के नाम से ट्रैक किया जा रहा है, असली हमलों में इस्तेमाल हो रही है। BleepingComputer के अनुसार पहले प्रयास 5 नवंबर से शुरू हुए, जिस दिन एक प्रदर्शन एक्सप्लॉइट सामने आया, और अगले दिन पहली सफलता मिली। यह बग कुछ विन्यासों में बिना पासवर्ड जाने Linux खातों में प्रवेश देता है। अगर आप Alpine Linux या हल्के कंटेनर वाले सर्वर चलाते हैं, तो यह मामला सीधे आपसे जुड़ा है।
तथ्यों में जाने से पहले कुछ शब्द। OpenSSH वह सॉफ़्टवेयर है जिससे सर्वर से दूर से जुड़ा जाता है। musl एक वैकल्पिक C लाइब्रेरी है, जो सबसे आम लाइब्रेरी की जगह इस्तेमाल होती है, जैसे Alpine Linux में। PAM वह मॉड्यूलर सिस्टम है जो Linux पर प्रमाणीकरण संभालता है। पासवर्ड हैश वह मान है जिससे सिस्टम पासवर्ड को बिना पढ़े जा सकने वाले रूप में सहेजता है। C2 वह कमांड और कंट्रोल सर्वर है जिससे हमलावर मैलवेयर को निर्देश देते हैं।
SSHole क्या है और कैसे काम करती है?
BleepingComputer के अनुसार, खामी को शोधकर्ता Ozgun Kultekin ने सार्वजनिक किया। यह musl पर आधारित Linux सिस्टम पर OpenSSH को प्रभावित करती है, जिनमें Alpine भी शामिल है, जो क्लाउड और वर्चुअल वातावरण में बहुत इस्तेमाल होता है।
तरीका यह है। कुछ खातों के पासवर्ड फ़ील्ड में तारांकन होता है, ताकि पासवर्ड से प्रवेश रोका जा सके। अगर बहुत लंबा पासवर्ड भेजा जाए, तो musl का हैशिंग फ़ंक्शन त्रुटि के रूप में तारांकन लौटाता है। OpenSSH इसे सहेजे गए मान से मेल समझता है और प्रवेश दे देता है।
इस पर हमने पहले Alpine Linux खातों में sshole बग वाले लेख में भी लिखा था।
वास्तव में कौन से सिस्टम खुले हैं?
The Hacker News ने CVSS स्कोर 8,1 बताया है और स्थितियाँ स्पष्ट की हैं। इसके लिए musl पर OpenSSH वाला Linux चाहिए और PAM बंद होना चाहिए, जिसमें Alpine के OpenSSH सर्वर की डिफ़ॉल्ट सेटिंग भी आती है।
Kultekin बताते हैं कि इसके लिए विशेष प्रमाणीकरण सेटिंग्स चाहिए, और वैध हैश वाले खातों पर असर नहीं होता। root पहुँच तब संभव है जब समझौता हुए खाते के पास बिना पासवर्ड वाले प्रशासनिक अधिकार हों।
हमलावर क्या कर रहे हैं?
GreyNoise के अनुसार, पहली सफल सेंधमारी 7 नवंबर को 00.46 UTC पर हुई, सुधार के लगभग 40 घंटे बाद। कंपनी ने उन नेटवर्कों के विरुद्ध 16 सफल शोषण श्रृंखलाएँ दर्ज कीं जिनकी वह सुरक्षा करती है, छह IP पतों से। लेकिन वह कहती है कि ये कुल गतिविधि का प्रतिनिधित्व नहीं करतीं।
हमलावरों ने सिस्टम और कंटेनर की टोह ली, क्लाउड मेटाडेटा सेवाओं से पूछताछ की, root के हैश और SSH कुंजियाँ पढ़ने की कोशिश की, और भीतर बने रहने के लिए authorized_keys बदलने का प्रयास किया। Previdian ने नौ देशों के 13 IP से 20 प्रयासों की बात कही। watchTower ने बॉटनेट और क्रिप्टोमाइनिंग से जुड़े उपयोग देखे।
TAC Agent क्या है?
यह एक Python कमांड और कंट्रोल एजेंट है जो तब इंस्टॉल होता है जब हमलावर को किसी सिस्टम पर root अधिकार मिल जाते हैं। BleepingComputer के अनुसार यह कमांड चलाता है, विस्तृत टोह लेता है, फ़ाइलें अपलोड और डाउनलोड करता है, और खुद को अपडेट कर सकता है। इसमें अंतर्निहित स्थायित्व नहीं है, इसलिए हमलावर स्टार्टअप सेवा बनाते हैं।
उस मामले में यह C2 सर्वर तक नहीं पहुँच सका और इसे कभी कोई काम नहीं मिला। Ars Technica, GreyNoise का हवाला देते हुए, इस गतिविधि को GT10 नाम के समूह से जोड़ता है और कहता है कि बैकडोर में चीनी भाषा की टिप्पणियाँ हैं और वह AI से बना लगता है। यही समूह जहाँ Python3 नहीं है, वहाँ उसे इंस्टॉल करता है।
ध्यान रखने योग्य सीमाएँ
हमें नहीं पता कि कितने सिस्टम प्रभावित हुए हैं। GreyNoise खुद कहता है कि पोर्ट 22 पर उसकी 27,5 मिलियन स्कैन और 20,1 मिलियन SSH सत्र पुष्टि किए गए SSHole हमले नहीं हैं। चीनी भाषा की टिप्पणियाँ जिम्मेदारी तय करने के लिए काफी नहीं हैं, और स्रोत इस पर एकमत नहीं हैं कि लेखक कौन है। Ars Technica एक समूह GT10 का ज़िक्र करता है, जबकि BleepingComputer इसका उल्लेख नहीं करता।
डिजिटल काम करने वालों के लिए क्या बदलता है
अगर आप Linux सर्वर संभालते हैं, तो OpenSSH को संस्करण 10.6p2 पर अपडेट करें, जो 5 नवंबर को जारी हुआ था। वैकल्पिक रूप से SSH पर पासवर्ड से प्रमाणीकरण बंद करें, जैसा BleepingComputer सुझाता है। फिर /etc/shadow में तारांकन वाले खातों पर सफल पासवर्ड लॉगिन, अनधिकृत SSH कुंजियाँ और TAC Agent की फ़ाइलें या स्टार्टअप सेवाएँ जाँचें। Alpine कंटेनर इस्तेमाल करने वालों को इमेज दोबारा बनानी होगी। अगर सर्वर किसी तीसरे पक्ष द्वारा प्रबंधित हैं, तो पूछें कि क्या उन्हें अपडेट किया गया है, उदाहरण के लिए प्रबंधित सुरक्षा अपडेट वाली होस्टिंग के ज़रिए।
हमारी राय
यह मामला दिखाता है कि त्रुटि मान पर भरोसा कितना नाज़ुक है। एक लाइब्रेरी से लौटा तारांकन दूसरी जगह वैध कुंजी बन जाता है। यह कोई विदेशी खामी नहीं, दो घटकों की सीमा पर हुई गलती है। सबसे उपयोगी बात गति है। सुधार के लगभग चार घंटे बाद ही हमले का कोड सामने आ गया। पैच और शोषण के बीच का अंतर अब घंटों में मापा जाता है, और जो महीने के अंत में अपडेट करता है, वह पहले ही पीछे है।
अक्सर पूछे जाने वाले सवाल
क्या SSHole सभी Linux सर्वरों को प्रभावित करती है?
नहीं। यह musl वाले सिस्टम पर OpenSSH को प्रभावित करती है, जहाँ PAM बंद हो, जैसे Alpine की डिफ़ॉल्ट सेटिंग। इसके लिए विशेष प्रमाणीकरण सेटिंग्स भी चाहिए।
OpenSSH का सही संस्करण कौन सा है?
10.6p2, जो BleepingComputer के अनुसार 5 नवंबर को जारी हुआ। अपडेट करना मुख्य उपाय है।
अगर अभी अपडेट नहीं कर सकता, तो क्या करूँ?
SSH पर पासवर्ड प्रमाणीकरण बंद करें, जैसा BleepingComputer सुझाता है। फिर संदिग्ध लॉगिन जाँचें।
हमलावर किस चीज़ की तलाश में हैं?
GreyNoise के अनुसार पासवर्ड हैश, root की SSH कुंजियाँ और क्लाउड मेटाडेटा। वे authorized_keys को बदलने की कोशिश भी करते हैं ताकि भीतर बने रहें।
TAC Agent को कैसे पहचानूँ?
उसकी फ़ाइलें और उसके लिए बनाई गई स्टार्टअप सेवाएँ खोजें। BleepingComputer अनधिकृत SSH कुंजियाँ जाँचने की भी सलाह देता है।
आने वाले हफ़्तों में SSH और musl पर क्या देखें
तस्वीर अभी बदल रही है, और हमले पर नज़र रखने वालों से नए आंकड़े अपेक्षित हैं। कुछ ठोस बातों पर ध्यान देना बेहतर है।
- समझौता हुए सिस्टमों की संख्या पर GreyNoise और Previdian के अपडेट देखते रहें।
- जाँचें कि आपका डिस्ट्रीब्यूशन सुधरे OpenSSH वाली Alpine इमेज कब जारी करता है।
- देखें कि /etc/shadow में किन खातों पर तारांकन है और क्या उनकी अब भी ज़रूरत है।
