OpenSSH waarschuwt voor kritiek lek waardoor authenticatie is te omzeilen

In dit artikel:

De OpenSSH-makers waarschuwen voor ‘sshole’, een kritieke kwetsbaarheid die onder bepaalde voorwaarden authenticatie kan omzeilen op Linux-systemen met de musl-library. Getroffen distributies zijn onder meer Alpine Linux, OpenWrt, Buildroot en Yocto. De fout zit volgens OpenSSH niet rechtstreeks in de software zelf, maar kan wel via de SSH-daemon worden misbruikt.

Een aanvaller kan op accounts die normaal geen wachtwoord accepteren toch inloggen door een wachtwoord van meer dan 256 tekens te gebruiken. Daarvoor moet sshd op musl draaien, PAM niet worden gebruikt en wachtwoordaanmelding ingeschakeld zijn. Daarnaast moet het systeem zowel een account met een ‘*’ als wachtwoord hebben als een ander account met een geldig wachtwoord. Zo’n sterretje wordt gebruikt om accounts, bijvoorbeeld root- of alleen-met-sleutelaccounts, te blokkeren.

De kwetsbaarheid raakt onder meer officiële Alpine-images voor AWS en Azure. OpenSSH bracht kort na de melding versie 10.6p2 uit met een mitigatie, omdat de ontwikkelaars vrezen dat AI-agents het probleem snel zouden kunnen ontdekken. Alpine Linux adviseert gebruikers om OpenSSH te updaten én de draaiende sshd-service te herstarten; alleen het installeren van de update is onvoldoende. Wie nog niet kan bijwerken, moet wachtwoordaanmelding in de sshd-configuratie uitschakelen en daarna de daemon herstarten. Een aanvaller hoeft slechts toegang tot de SSH-poort te hebben en geen geldig wachtwoord te kennen.