Aanvallers misbruiken een kwetsbaarheid in OpenSSH op musl-gebaseerde systemen om botnets en cryptominers te installeren.
Cybercriminelen maken misbruik van een kwetsbaarheid in OpenSSH die specifiek systemen treft die draaien op de musl library, zoals Alpine Linux, OpenWRT, Buildroot en Yocto. Het beveiligingslek maakt het mogelijk om met een wachtwoord van meer dan 256 karakters in te loggen op accounts die normaal gesproken geen wachtwoordauthenticatie accepteren. Dit kan leiden tot ongeautoriseerde toegang op kwetsbare systemen.
De kwetsbaarheid bevindt zich niet direct in OpenSSH zelf, maar in de combinatie met musl en bepaalde configuraties. Voor misbruik moet de OpenSSH daemon (sshd) op musl draaien, mag PAM (Pluggable Authentication Modules) niet worden gebruikt, moet wachtwoordauthenticatie ingeschakeld zijn en moet er een account bestaan met alleen een asterisk (*) als wachtwoord, naast een ander account met een geldig wachtwoord. Het OpenSSH-team werd op 4 november geïnformeerd en bracht op 5 november versie 10.6p2 uit met een mitigatie.
Volgens cybersecuritybedrijf Previdian vonden de eerste aanvallen al negen uur na de update plaats. Cybersecuritybedrijf watchTowr meldt actief misbruik waarbij aanvallers via deze kwetsbaarheid systemen besmetten en inzetten voor botnets en cryptominers. Deze malware gebruikt de rekenkracht van geïnfecteerde systemen om cryptovaluta te minen. Onderzoekers volgen de ontwikkelingen nauwgezet.
Het Nationaal Cyber Security Centrum (NCSC) adviseert om SSH-beheerdiensten niet rechtstreeks aan het internet bloot te stellen. Waar mogelijk moet de toegang worden beperkt tot vertrouwde netwerken en wachtwoordauthenticatie uitgeschakeld worden als dit niet noodzakelijk is. Deze maatregelen verkleinen het risico op misbruik van kwetsbaarheden zoals deze advisory van het NCSC.
