Ing. Calogero Bono
Уязвимость SSHole в OpenSSH, имеющая идентификатор CVE-2026-123158, используется в реальных атаках. По данным BleepingComputer, первые попытки начались 5 ноября, в день появления демонстрационного эксплойта, а на следующий день зафиксирован первый успех. Ошибка позволяет в определённых конфигурациях войти в учётные записи Linux, не зная пароля. Если ты управляешь серверами с Alpine Linux или лёгкими контейнерами, проблема касается именно тебя.
Несколько терминов, прежде чем перейти к фактам. OpenSSH — программа, которая позволяет подключаться к серверам удалённо. musl — альтернативная C-библиотека, в отличие от более распространённой, используется, например, в Alpine Linux. PAM — модульная система, отвечающая за аутентификацию в Linux. Хеш пароля — значение, в котором система хранит пароль в нечитаемом виде. C2 — сервер управления и контроля, через который злоумышленники руководят вредоносной программой.
Что такое SSHole и как это работает?
По данным BleepingComputer, уязвимость обнародовал исследователь Озгюн Кулътекин. Она касается OpenSSH на Linux-системах на базе musl, включая Alpine, широко используемую в облачных и виртуальных средах.
Механизм такой. У некоторых учётных записей в поле пароля стоит звёздочка, чтобы запретить вход по паролю. Если отправить слишком длинный пароль, функция хеширования musl возвращает звёздочку как ошибку. OpenSSH принимает её за совпадение с сохранённым значением и пропускает пользователя.
Об этом мы уже писали в нашей статье о баге *sshole в учётных записях Alpine Linux.
Какие системы действительно уязвимы?
The Hacker News указывает оценку CVSS 8,1 и уточняет условия. Нужны Linux с OpenSSH на musl и отключённым PAM, что включает конфигурацию OpenSSH-сервера Alpine по умолчанию.
Кулътекин объясняет, что требуются особые параметры аутентификации, а учётные записи с действительным хешем не затрагиваются. Доступ root возможен там, где скомпрометированная учётная запись имеет административные права без пароля.
Что делают злоумышленники?
По данным GreyNoise, первый успешный взлом зафиксирован 7 ноября в 00:46 UTC, примерно через 40 часов после исправления. Компания зафиксировала 16 успешных цепочек эксплуатации против сетей, которые защищает, с шести IP-адресов. При этом она говорит, что это не отражает общей активности.
Злоумышленники проводили разведку системы и контейнеров, опрашивали сервисы метаданных облака, пытались прочитать хеши и SSH-ключи root и изменить файл authorized_keys, чтобы закрепиться. Previdian сообщает о 20 попытках с 13 IP-адресов в девяти странах. watchTower наблюдала применение, связанное с ботнетами и криптомайнингом.
Что такое TAC Agent?
Это Python-агент управления и контроля, устанавливаемый при атаке на систему, где злоумышленник получил права root. По данным BleepingComputer, он выполняет команды, проводит расширенную разведку, загружает и выгружает файлы и может обновляться. Встроенного механизма закрепления нет, поэтому злоумышленники настраивают службу автозапуска.
В этом случае он не смог подключиться к серверу C2 и так и не получил задач. Ars Technica, ссылаясь на GreyNoise, связывает активность с группой GT10 и отмечает, что в бэкдоре есть комментарии на китайском и он, похоже, сгенерирован ИИ. Та же группа устанавливает Python3 там, где его нет.
Ограничения, которые стоит знать
Мы не знаем, сколько систем уже скомпрометировано. Сама GreyNoise говорит, что её 27,5 миллиона сканирований порта 22 и 20,1 миллиона SSH-сессий не являются подтверждёнными атаками SSHole. Комментариев на китайском языке недостаточно для атрибуции, а источники не сходятся в том, кто автор. Ars Technica называет группу GT10, BleepingComputer её не упоминает.
Что меняется для тех, кто работает с цифровыми сервисами
Если ты администрируешь Linux-серверы, обнови OpenSSH до версии 10.6p2, выпущенной 5 ноября. Если это невозможно, отключи аутентификацию по паролю через SSH, как советует BleepingComputer. Затем проверь успешные входы по паролю для учётных записей со звёздочкой в /etc/shadow, неавторизованные SSH-ключи и файлы или службы автозапуска TAC Agent. Тем, кто использует Alpine в контейнерах, нужно пересобрать образы. Если серверы обслуживает сторонняя компания, спроси, обновлены ли они, например, у хостинга с управляемыми обновлениями безопасности.
Наше мнение
Этот случай показывает, насколько хрупко доверие к значению ошибки. Звёздочка, которую вернула библиотека, превращается в действительный ключ для другой. Это не экзотическая уязвимость, а ошибка на стыке двух компонентов. Самый полезный показатель здесь скорость – код атаки появился примерно через четыре часа после исправления. Разрыв между патчем и эксплуатацией теперь измеряется часами, и тот, кто обновляется в конце месяца, уже отстаёт.
Частые вопросы
SSHole касается всех Linux-серверов?
Нет. Она касается OpenSSH на системах с musl и отключённым PAM, например в настройках Alpine по умолчанию. Нужны также особые параметры аутентификации.
Какая версия OpenSSH исправлена?
Версия 10.6p2, выпущенная 5 ноября по данным BleepingComputer. Главная мера — обновление.
Что делать, если сразу обновиться нельзя?
Отключи аутентификацию SSH по паролю, как советует BleepingComputer. Затем проверь подозрительные входы.
Что ищут злоумышленники?
По данным GreyNoise, хеши паролей, SSH-ключи root и метаданные облака. Они также пытаются изменить authorized_keys, чтобы закрепиться в системе.
Как распознать TAC Agent?
Ищи его файлы и службы автозапуска, созданные для него. BleepingComputer советует также проверять неавторизованные SSH-ключи.
За чем следить в ближайшие недели по SSH и musl
Картина всё ещё меняется, и новые данные ожидаются от тех, кто отслеживает атаки. Стоит следить за немногими конкретными вещами.
- Следи за обновлениями GreyNoise и Previdian о числе скомпрометированных систем.
- Проверяй, когда твой дистрибутив опубликует образы Alpine с исправленным OpenSSH.
- Пересмотри, у каких учётных записей в /etc/shadow стоит звёздочка и нужны ли они ещё.
