مهاجمان تنها چند ساعت پس از انتشار جزئیات آسیب‌پذیری SSHole با شناسه CVE-2026-123158، موفق شدند از طریق یک حمله بدون احراز هویت به حساب‌های کاربری لینوکس دسترسی پیدا کنند. در یکی از حملات ثبت‌شده، مهاجم حتی به دسترسی Root روی یک سرور آزمایشی دست یافته است.
شرکت اطلاعات تهدید Previdian از شناسایی تلاش‌های فعال برای سوءاستفاده از یک آسیب‌پذیری امنیتی در OpenSSH خبر داده است. این آسیب‌پذیری با شناسه CVE-2026-123158 و امتیاز شدت 8.1 از 10 در مقیاس CVSS ثبت شده و با نام SSHole شناخته می‌شود.
نکته نگران‌کننده این است که نخستین تلاش شناسایی‌شده برای بهره‌برداری از این آسیب‌پذیری، کمتر از ۹ ساعت پس از انتشار عمومی جزئیات آن انجام شده است.
آسیب‌پذیری SSHole چگونه عمل می‌کند؟
این مشکل از نحوه تعامل OpenSSH با کتابخانه سیستمی musl در برخی توزیع‌های لینوکس ناشی می‌شود.
در شرایط مشخص، مهاجم می‌تواند با ارسال یک رمز عبور غیرمعمول و طولانی، فرآیند بررسی رمز عبور را دچار خطا کند. در این وضعیت، تابع رمزنگاری در musl به‌جای خروجی معتبر، کاراکتر * را برمی‌گرداند.
از آنجا که همین کاراکتر در فایل /etc/shadow برای برخی حساب‌های کاربری فاقد رمز عبور معتبر نیز استفاده می‌شود، OpenSSH در شرایط خاص ممکن است نتیجه نامعتبر را با مقدار ذخیره‌شده یکسان تشخیص داده و احراز هویت را با موفقیت انجام دهد.
برای اجرای این حمله، مهاجم باید یک رمز عبور با طول مشخص، بین ۲۵۷ تا ۱۰۲۴ بایت، ارسال کند. در نتیجه، امکان ورود غیرمجاز به برخی حساب‌های کاربری بدون در اختیار داشتن رمز عبور واقعی یا کلید SSH فراهم می‌شود.
کدام سیستم‌ها در معرض خطر هستند؟
این آسیب‌پذیری تمام سرورهای لینوکسی مجهز به OpenSSH را تحت تأثیر قرار نمی‌دهد. بهره‌برداری موفق به ترکیبی از شرایط زیر وابسته است:
- استفاده از سیستم‌عامل لینوکسی مبتنی بر کتابخانه musl
- غیرفعال بودن PAM در فرآیند احراز هویت SSH
- فعال بودن احراز هویت مبتنی بر رمز عبور
- وجود حداقل یک حساب کاربری با مقدار
*در فیلد رمز عبور فایل/etc/shadow - وجود شرایط لازم در سایر حساب‌های کاربری برای انجام فرآیند Hash
توزیع Alpine Linux به دلیل استفاده از musl و تنظیمات پیش‌فرض OpenSSH، یکی از مهم‌ترین سیستم‌های در معرض خطر محسوب می‌شود.
همچنین سیستم‌های مبتنی بر OpenWrt، Buildroot و Yocto در صورت استفاده از ترکیب تنظیماتی آسیب‌پذیر باید بررسی شوند.
در مقابل، توزیع‌های مبتنی بر glibc مانند Ubuntu، Debian و Fedora و همچنین سیستم‌هایی که احراز هویت را از طریق PAM انجام می‌دهند، تحت تأثیر این آسیب‌پذیری قرار ندارند. سرویس Dropbear نیز از این مشکل مصون است.
مهاجمان چگونه از این آسیب‌پذیری استفاده کرده‌اند؟
بر اساس گزارش Previdian، نخستین تلاش برای بهره‌برداری از SSHole کمتر از ۹ ساعت پس از انتشار عمومی آسیب‌پذیری ثبت شده است.
این شرکت تاکنون هشت تلاش برای سوءاستفاده از این نقص امنیتی را شناسایی کرده که همگی از یک آدرس IP منتسب به ژاپن انجام شده‌اند.
مهم‌تر از تعداد حملات، موفقیت یکی از آن‌ها در دستیابی به دسترسی Root روی یک Honeypot واقعی مجهز به Alpine Linux و OpenSSH است.
مهاجم پس از ورود غیرمجاز، دستوراتی مانند id، uname و hostname را برای شناسایی سیستم و جمع‌آوری اطلاعات اولیه اجرا کرده است.
دسترسی اولیه به یک حساب کاربری می‌تواند با توجه به سطح دسترسی آن، زمینه دسترسی به اطلاعات محرمانه، اعتبارنامه‌های استقرار نرم‌افزار، کلیدهای دسترسی و سایر زیرساخت‌های متصل را فراهم کند. در حساب‌هایی که امکان ارتقای سطح دسترسی دارند، پیامد حمله می‌تواند به تصاحب کامل سرور منجر شود.
راهکارهای مقابله و بررسی نفوذ
این آسیب‌پذیری در نسخه OpenSSH 10.6p2 برطرف شده است. مدیران سیستم باید نسخه اصلاح‌شده OpenSSH یا بسته امنیتی منتشرشده توسط توزیع لینوکس خود را نصب کرده و پس از به‌روزرسانی، سرویس SSH را مجدداً راه‌اندازی کنند.
برای سیستم‌های Alpine Linux، به‌روزرسانی بسته OpenSSH از طریق دستور زیر امکان‌پذیر است:
apk upgrade openssh
در صورتی که امکان نصب فوری وصله وجود ندارد، غیرفعال کردن احراز هویت مبتنی بر رمز عبور با تنظیم زیر در فایل پیکربندی SSH می‌تواند به‌عنوان راهکار موقت مورد استفاده قرار گیرد:
PasswordAuthentication no
البته این تغییر باید با در نظر گرفتن روش‌های فعلی دسترسی مدیران و سرویس‌های وابسته انجام شود.
همچنین توصیه می‌شود لاگ‌های احراز هویت برای شناسایی ورودهای مشکوک بررسی شوند. در Alpine Linux می‌توان از دستور زیر برای یافتن ورودهای موفق مبتنی بر رمز عبور استفاده کرد:
grep "Accepted password" /v a r/log/messages
ورود موفق به حساب‌هایی که اصولاً نباید امکان ورود با رمز عبور داشته باشند، از جمله حساب‌های Root یا کاربران مخصوص دسترسی با کلید SSH، می‌تواند نشانه‌ای از بهره‌برداری موفق باشد.
در صورت مشاهده شواهد نفوذ، بررسی دستورات اجراشده، استفاده از doas، کاربران تازه ایجادشده و فایل‌های authorized_keys ضروری است. اگر احتمال ورود غیرمجاز رد نشود، باید سیستم را به‌عنوان یک میزبان آلوده در نظر گرفت و اقدامات پاسخ به حادثه را آغاز کرد.
جمع‌بندی
آسیب‌پذیری SSHole بار دیگر نشان می‌دهد که حتی سرویس‌های زیرساختی قدیمی و به‌ظاهر قابل اعتماد مانند OpenSSH نیز ممکن است در اثر تعامل با کتابخانه‌های سیستمی و شرایط خاص پیکربندی، به نقطه ورود مهاجمان تبدیل شوند.
فاصله زمانی کمتر از ۹ ساعت میان انتشار عمومی آسیب‌پذیری و نخستین تلاش شناسایی‌شده برای بهره‌برداری از آن، اهمیت مدیریت سریع وصله‌های امنیتی و پایش مستمر سرویس‌های در معرض اینترنت را برجسته می‌کند.
برای مدیران زیرساخت، صرفاً نصب وصله کافی نیست. شناسایی سیستم‌های آسیب‌پذیر، بررسی لاگ‌های ورود، کنترل حساب‌های بدون رمز عبور و اطمینان از نبود دسترسی غیرمجاز باید بخشی از فرآیند رسیدگی به این آسیب‌پذیری باشد.
شناسه آسیب‌پذیری: CVE-2026-123158
شدت آسیب‌پذیری: High (CVSS 8.1)
محصول آسیب‌پذیر: OpenSSH در محیط‌های لینوکسی مبتنی بر musl با شرایط پیکربندی مشخص
نسخه اصلاح‌شده: OpenSSH 10.6p2
دیدگاهتان را بنویسید
برای نوشتن دیدگاه باید وارد بشوید.