Cybersecuritybedrijven melden actief misbruik van een kwetsbaarheid die bekendstaat als *SSHole. Het probleem raakt specifieke Linux-omgevingen die OpenSSH gebruiken in combinatie met de musl-library. Onder bepaalde voorwaarden kunnen aanvallers met een extreem lang wachtwoord inloggen op accounts die juist geen wachtwoordlogin zouden moeten accepteren.
Bevestigd: misbruik kort na beschikbaar komen update
Het OpenSSH-team werd op 4 november ingelicht over de kwetsbaarheid en bracht op 5 november OpenSSH 10.6p2 uit. Die versie bevat een mitigatie voor het probleem. Volgens cybersecuritybedrijf Previdian werden de eerste aanvallen ongeveer negen uur na het verschijnen van de update waargenomen.
Ook watchTowr meldt actief misbruik. Volgens dat bedrijf gebruiken aanvallers de kwetsbaarheid op dit moment om systemen onderdeel te maken van botnets of om cryptominers te installeren. Cryptominers misbruiken de rekenkracht van besmette systemen voor het delven van cryptovaluta. Uit de beschikbare informatie blijkt niet dat er al andere aanvalsvormen zijn vastgesteld.
Kwetsbaarheid zit in specifieke configuraties
OpenSSH, ook bekend als OpenBSD Secure Shell, is een veelgebruikte verzameling netwerktools op basis van het SSH-protocol. Organisaties gebruiken SSH onder meer voor beheer op afstand, servertoegang en geautomatiseerde beheerprocessen. Juist omdat SSH vaak beheertoegang biedt, zijn kwetsbaarheden in of rond deze dienst voor aanvallers aantrekkelijk.
De kwetsbaarheid bevindt zich volgens de beschikbare informatie niet direct in OpenSSH zelf. Het probleem treft Linux-distributies die gebruikmaken van de musl-library, waaronder Alpine Linux, OpenWRT, Buildroot en Yocto. De nieuwe OpenSSH-versie bevat wel een mitigatie, waardoor beheerders van getroffen omgevingen de update alsnog serieus moeten nemen.
Misbruik is alleen mogelijk als aan meerdere voorwaarden wordt voldaan. De OpenSSH-daemon sshd moet op musl draaien, PAM moet niet worden gebruikt, wachtwoordauthenticatie moet ingeschakeld zijn, er moet een account bestaan met alleen een sterretje als wachtwoordveld en daarnaast moet er een ander account met een echt wachtwoord aanwezig zijn. Voorbeelden van accounts met alleen een sterretje zijn key-only users, ldap users en root op Alpine Linux.
Hoe de omzeiling werkt op hoofdlijnen
Op kwetsbare systemen kan een wachtwoord van meer dan 256 tekens ertoe leiden dat de authenticatie voor bepaalde accounts wordt omzeild. Daardoor kan een aanvaller inloggen op accounts die geen wachtwoordlogin zouden moeten accepteren. Het gaat dus niet om een generieke OpenSSH-inbraak op alle systemen, maar om een combinatie van software, configuratie en accountinstellingen.
Die nuance is belangrijk voor risicobeoordeling. Organisaties die geen musl-gebaseerde omgeving gebruiken, of die PAM en strengere SSH-configuraties inzetten, vallen op basis van de gemelde voorwaarden niet automatisch binnen het beschreven aanvalsscenario. Tegelijkertijd zijn Alpine Linux, OpenWRT, Buildroot en Yocto gangbaar in containers, appliances, routers, embedded systemen en compacte Linux-omgevingen. Daardoor kan de kwetsbaarheid juist voorkomen op plekken die minder zichtbaar zijn in regulier serverbeheer.
Analyse: vooral risico voor beheerinterfaces aan internet
De eerste meldingen wijzen op aanvallen die gericht zijn op schaal: botnets en cryptomining. Dat past bij kwetsbaarheden in internetbereikbare diensten, waarbij aanvallers snel scannen op systemen die aan de voorwaarden voldoen. Er is geen informatie beschikbaar dat gerichte spionage of datadiefstal via deze kwetsbaarheid is vastgesteld, maar succesvolle SSH-toegang kan in algemene zin wel een ernstig startpunt zijn voor verdere compromittering.
Voor organisaties is vooral relevant of SSH-diensten rechtstreeks vanaf internet bereikbaar zijn. Het Nationaal Cyber Security Centrum raadt vanuit securityoogpunt af om SSH-beheerdiensten direct aan het internet bloot te stellen. Het advies is om toegang waar mogelijk te beperken tot vertrouwde netwerken en wachtwoordauthenticatie uit te schakelen wanneer die niet noodzakelijk is.
Wat beheerders nu moeten controleren
De beschikbare informatie wijst erop dat beheerders eerst moeten vaststellen of zij musl-gebaseerde Linux-omgevingen gebruiken waarin sshd actief is. Daarna is van belang of PAM ontbreekt of uitgeschakeld is, of wachtwoordauthenticatie nog aanstaat en of er accounts bestaan met een sterretje als wachtwoordveld in combinatie met andere accounts die wel een echt wachtwoord hebben.
Daarnaast is OpenSSH 10.6p2 relevant omdat deze versie de gemelde mitigatie bevat. In omgevingen waar distributies als Alpine Linux, OpenWRT, Buildroot of Yocto worden gebruikt, verdient het extra aandacht of updates al beschikbaar en toegepast zijn. De meldingen van misbruik kort na de update onderstrepen dat aanvallers snel reageren zodra technische details en patches rond kritieke beheerdiensten publiek worden.
Bron: security.nl
