De ontwikkelaars van OpenSSH hebben versie 10.6p2 uitgebracht met een mitigatie voor een kritieke kwetsbaarheid waarmee authenticatie op bepaalde Linux-systemen kan worden omzeild. Het probleem zit volgens OpenSSH niet in de kern van OpenSSH zelf, maar kan wel via de OpenSSH-daemon worden misbruikt. De kwetsbaarheid heeft de naam *sshole gekregen en treft systemen die OpenSSH draaien in combinatie met de musl C-library.
Wat is bevestigd
De kwetsbaarheid is gemeld door onderzoeker Özgün Kültekin. Volgens de beschikbare informatie zijn onder meer Alpine Linux, OpenWRT, Buildroot en Yocto relevant, omdat die in bepaalde configuraties gebruikmaken van musl. OpenSSH, ook bekend als OpenBSD Secure Shell, wordt breed gebruikt voor veilig beheer op afstand van servers, netwerkapparatuur, containers en embedded systemen.
De aanval draait om accounts waarbij in plaats van een wachtwoordhash een sterretje, *, als wachtwoordveld is ingesteld. Zo’n waarde wordt traditioneel gebruikt om interactieve wachtwoordlogin voor een account onmogelijk te maken. Op kwetsbare systemen kan dat mechanisme echter worden doorbroken wanneer een aanvaller een wachtwoord van meer dan 256 tekens aanbiedt.
Misbruik is niet in iedere OpenSSH-installatie mogelijk. Er moet aan meerdere voorwaarden zijn voldaan. De OpenSSH-daemon sshd moet op musl draaien, er mag geen gebruik worden gemaakt van PAM, wachtwoordlogin moet ingeschakeld zijn, er moet ten minste één account bestaan met alleen een * als wachtwoordveld, en er moet daarnaast een ander account met een echt wachtwoord aanwezig zijn. Als die omstandigheden samenkomen, kan op de accounts met een * worden ingelogd met een willekeurig wachtwoord dat langer is dan 256 tekens.
Impact op Alpine Linux en cloudimages
De impact is vooral relevant voor omgevingen waar Alpine Linux of daarvan afgeleide images worden gebruikt. Volgens de melding komt het gebruik van een * onder meer voor in officiële AWS- en Azure-images van Alpine Linux, bij de standaardgebruiker alpine, die rootrechten heeft. Dat maakt de kwetsbaarheid extra gevoelig voor organisaties die zulke images rechtstreeks inzetten en SSH-toegang bereikbaar hebben gemaakt.
Alpine Linux roept gebruikers die sshd draaien op om OpenSSH te updaten en daarna de SSH-daemon opnieuw te starten. Alleen het installeren van de bijgewerkte pakketten is niet voldoende, omdat een reeds draaiend sshd-proces daarmee niet automatisch wordt vervangen. Voor systemen die nog niet direct kunnen worden bijgewerkt, noemt Alpine het uitschakelen van wachtwoordauthenticatie in de sshd-configuratie als tijdelijke maatregel, gevolgd door een herstart van sshd.
OpenSSH kiest voor snelle mitigatie
OpenSSH 10.6p2 bevat een mitigatie voor het probleem. Damien Miller van OpenSSH stelde dat de hoofdoorzaak buiten OpenSSH ligt, maar dat OpenSSH wel een logische plek is om het risico te beperken omdat de aanval via sshd loopt. OpenSSH werd volgens de berichtgeving een dag voor de release ingelicht en heeft de nieuwe versie daarna snel beschikbaar gemaakt.
Een opvallend detail is de reden voor die snelheid: volgens Miller is de release versneld vanwege het risico dat AI-agents het probleem zouden kunnen ontdekken. Daarmee wijst OpenSSH op een bredere ontwikkeling in kwetsbaarhedenonderzoek: geautomatiseerde hulpmiddelen kunnen fouten in randgevallen mogelijk sneller vinden en operationaliseren dan voorheen.
Analyse: waarom dit zwaar weegt
De kwetsbaarheid is ernstig omdat SSH vaak een directe beheerpoort naar systemen vormt. Als een SSH-dienst vanaf internet bereikbaar is, kan een fout in authenticatie onmiddellijk leiden tot volledige systeemtoegang, zeker wanneer het getroffen account rootrechten heeft. In container-, cloud- en embedded-omgevingen worden compacte Linux-distributies zoals Alpine bovendien veel gebruikt, waardoor dezelfde configuratiefout op grote schaal kan terugkomen in images en appliances.
Tegelijk is de aanval niet universeel toepasbaar op alle OpenSSH-installaties. Systemen die glibc gebruiken, PAM inzetten, wachtwoordlogin hebben uitgeschakeld of geen accounts met een *-wachtwoordveld in de beschreven combinatie hebben, vallen buiten de specifieke voorwaarden zoals die nu bekend zijn. Voor beheerders is daarom vooral inventarisatie belangrijk: draait sshd op musl, is wachtwoordauthenticatie actief en worden Alpine- of OpenWRT-achtige omgevingen gebruikt?
Beveiligingsonderzoeker Kevin Beaumont meldt dat aanvallers de kwetsbaarheid actief misbruiken. Die melding onderstreept dat organisaties dit niet als theoretisch probleem moeten behandelen. Vooral systemen met een publiek bereikbare SSH-poort verdienen directe aandacht, omdat misbruik volgens de beschikbare informatie met één verbinding mogelijk kan zijn wanneer de kwetsbare voorwaarden aanwezig zijn.
Bron: security.nl
