Misbruik OpenSSH-lek gemeld: 'Voorlopig botnets en cryptominers'

In dit artikel:

Aanvallers maken actief misbruik van de zogenoemde ‘SSHole’-kwetsbaarheid in OpenSSH. Op bepaalde Linux-systemen die de musl-library gebruiken, kan een wachtwoord van meer dan 256 tekens de authenticatie omzeilen. Daardoor kunnen aanvallers toegang krijgen tot accounts die juist geen wachtwoord zouden moeten accepteren, zoals accounts die alleen met een SSH-sleutel toegankelijk zijn.

Misbruik is alleen mogelijk onder specifieke omstandigheden: de SSH-server moet op musl draaien, PAM mag niet zijn ingeschakeld, wachtwoordaanmelding moet actief zijn en het systeem moet zowel een account zonder bruikbaar wachtwoord als een account met een echt wachtwoord bevatten. Getroffen omgevingen zijn onder meer Alpine Linux, OpenWRT, Buildroot en Yocto. Het probleem zit in de samenwerking met de musl-library en niet rechtstreeks in OpenSSH, maar het OpenSSH-team bracht op 5 november versie 10.6p2 uit met een mitigatie, nadat het een dag eerder was geïnformeerd.

Volgens cybersecuritybedrijven Previdian en watchTowr begonnen aanvallen al negen uur na het verschijnen van de update. Hackers gebruiken kwetsbare systemen onder meer voor botnets en cryptominers. Het NCSC adviseert SSH-beheerdiensten niet rechtstreeks op internet beschikbaar te stellen, toegang te beperken tot vertrouwde netwerken en wachtwoordauthenticatie uit te schakelen als die niet nodig is.