Ing. Calogero Bono
Kerentanan SSHole pada OpenSSH, dilacak sebagai CVE-2026-123158, sudah dipakai dalam serangan nyata. Menurut BleepingComputer, percobaan pertama dimulai pada 5 November, hari ketika muncul exploit demonstrasi, dan keesokan harinya terjadi keberhasilan pertama. Bug ini memungkinkan masuk ke akun Linux tanpa mengetahui kata sandi, dalam konfigurasi tertentu. Jika kamu mengelola server dengan Alpine Linux atau container ringan, masalah ini langsung menyangkutmu.
Beberapa istilah, sebelum masuk ke faktanya. OpenSSH adalah perangkat lunak yang memungkinkan koneksi jarak jauh ke server. musl adalah pustaka C alternatif dari yang paling umum, dipakai misalnya di Alpine Linux. PAM adalah sistem modular yang mengelola autentikasi di Linux. Hash kata sandi adalah nilai yang dipakai sistem untuk menyimpan kata sandi dalam bentuk yang tidak bisa dibaca. C2 adalah server command and control tempat penyerang mengendalikan malware.
Apa itu SSHole dan bagaimana cara kerjanya?
Menurut BleepingComputer, kerentanan ini diungkap oleh peneliti Ozgun Kultekin. Bug ini berlaku untuk OpenSSH pada sistem Linux berbasis musl, termasuk Alpine, yang banyak dipakai di lingkungan cloud dan virtual.
Mekanismenya begini. Beberapa akun memiliki tanda bintang di kolom kata sandi, untuk mencegah login dengan kata sandi. Jika dikirim kata sandi yang terlalu panjang, fungsi hashing musl mengembalikan tanda bintang sebagai error. OpenSSH menganggapnya sebagai kecocokan dengan nilai tersimpan dan membiarkan masuk.
Kami sudah pernah menulis tentang bug *sshole pada akun Alpine Linux.
Sistem mana yang benar-benar terpapar?
The Hacker News mencantumkan skor CVSS 8,1 dan menjelaskan kondisinya. Dibutuhkan Linux dengan OpenSSH di atas musl dan PAM dinonaktifkan, yang mencakup konfigurasi default server OpenSSH di Alpine.
Kultekin menjelaskan bahwa dibutuhkan pengaturan autentikasi tertentu dan akun dengan hash valid tidak terdampak. Akses root dimungkinkan jika akun yang disusupi memiliki hak administratif tanpa kata sandi.
Apa yang dilakukan penyerang?
Menurut GreyNoise, eksploitasi berhasil pertama tercatat pada 7 November pukul 00.46 UTC, sekitar 40 jam setelah perbaikan. Perusahaan itu mencatat 16 rantai eksploitasi yang berhasil terhadap jaringan yang dilindunginya, dari enam alamat IP. Namun mereka menyatakan angka itu tidak mewakili keseluruhan aktivitas.
Penyerang melakukan pengintaian sistem dan container, menanyakan layanan metadata cloud, mencoba membaca hash dan kunci SSH root, serta mengubah file authorized_keys untuk tetap bertahan. Previdian melaporkan 20 percobaan dari 13 IP di sembilan negara. watchTower melihat penggunaan yang terkait dengan botnet dan cryptomining.
Apa itu TAC Agent?
Ini adalah agen command and control berbasis Python yang dipasang dalam serangan pada sistem tempat penyerang sudah memperoleh hak root. Menurut BleepingComputer, agen ini menjalankan perintah, melakukan pengintaian ekstensif, mengunggah dan mengunduh file, serta dapat memperbarui dirinya sendiri. Ia tidak memiliki persistensi bawaan, sehingga penyerang mengatur layanan startup sendiri.
Dalam kasus itu, agen tidak berhasil mencapai server C2 dan tidak pernah menerima tugas. Ars Technica, mengutip GreyNoise, mengaitkan aktivitas ini dengan kelompok bernama GT10 dan mencatat bahwa backdoor tersebut memiliki komentar berbahasa Mandarin dan tampaknya dihasilkan dengan AI. Kelompok yang sama memasang Python3 di tempat yang belum memilikinya.
Batasan yang perlu diketahui
Kami belum tahu berapa banyak sistem yang sudah disusupi. GreyNoise sendiri menyatakan bahwa 27,5 juta pemindaian pada port 22 dan 20,1 juta sesi SSH yang dicatatnya bukan serangan SSHole yang terkonfirmasi. Komentar berbahasa Mandarin tidak cukup untuk atribusi, dan sumber-sumber tidak sepakat soal siapa pelakunya. Ars Technica menyebut kelompok GT10, sementara BleepingComputer tidak menyebutnya.
Apa yang berubah bagi kamu yang bekerja dengan digital
Jika kamu mengelola server Linux, perbarui OpenSSH ke versi 10.6p2, yang dirilis pada 5 November. Sebagai alternatif, nonaktifkan autentikasi kata sandi melalui SSH, seperti yang disarankan BleepingComputer. Lalu periksa login kata sandi yang berhasil pada akun dengan tanda bintang di /etc/shadow, kunci SSH yang tidak sah, serta file atau layanan startup milik TAC Agent. Pengguna Alpine di container perlu membangun ulang image. Jika kamu punya server yang dikelola pihak ketiga, tanyakan apakah sudah diperbarui, misalnya lewat hosting dengan pembaruan keamanan terkelola.
Pendapat kami
Kasus ini menunjukkan betapa rapuhnya kepercayaan pada sebuah nilai kesalahan. Tanda bintang yang dikembalikan sebuah pustaka berubah menjadi kunci yang valid untuk komponen lain. Ini bukan kerentanan eksotis, melainkan kesalahan di batas antara dua komponen. Data yang paling berguna adalah kecepatannya. Kode serangan muncul sekitar empat jam setelah perbaikan. Jarak antara patch dan eksploitasi kini diukur dalam hitungan jam, dan siapa pun yang memperbarui di akhir bulan sudah terlambat.
Pertanyaan yang sering diajukan
Apakah SSHole berlaku untuk semua server Linux?
Tidak. Ini berlaku untuk OpenSSH pada sistem dengan musl dan PAM dinonaktifkan, seperti konfigurasi default Alpine. Dibutuhkan juga pengaturan autentikasi tertentu.
Versi OpenSSH mana yang benar?
Versi 10.6p2, yang dirilis pada 5 November menurut BleepingComputer. Memperbarui adalah langkah utamanya.
Jika belum bisa memperbarui sekarang, apa yang harus dilakukan?
Nonaktifkan autentikasi SSH dengan kata sandi, seperti yang disarankan BleepingComputer. Kemudian periksa akses yang mencurigakan.
Apa yang dicari penyerang?
Menurut GreyNoise, hash kata sandi, kunci SSH root, dan metadata cloud. Mereka juga mencoba mengubah authorized_keys untuk tetap bertahan di dalam sistem.
Bagaimana cara mengenali TAC Agent?
Cari file dan layanan startup yang dibuat untuknya. BleepingComputer juga menyarankan memeriksa kunci SSH yang tidak sah.
Apa yang perlu diperhatikan dalam beberapa minggu ke depan soal SSH dan musl
Gambarannya masih berkembang, dengan data baru yang ditunggu dari pihak yang memantau serangan. Ada beberapa hal konkret yang sebaiknya kamu ikuti.
- Ikuti pembaruan GreyNoise dan Previdian tentang jumlah sistem yang disusupi.
- Pantau kapan distribusimu merilis image Alpine dengan OpenSSH yang sudah diperbaiki.
- Tinjau akun mana yang memiliki tanda bintang di /etc/shadow dan apakah masih dibutuhkan.
