OpenSSH brengt mitigatie uit voor kwetsbaarheid in Linux-systemen met musl library, waardoor wachtwoordauthenticatie kan worden omzeild.
De ontwikkelaars van OpenSSH waarschuwen voor een kritieke kwetsbaarheid die het mogelijk maakt om de authenticatie op bepaalde systemen te omzeilen. Hoewel het probleem niet direct in OpenSSH zelf zit, is er een nieuwe versie van de software uitgebracht die een mitigatie bevat. Dit meldde Damien Miller van OpenSSH via zijn kanaal.
De kwetsbaarheid, aangeduid als *sshole, treft OpenSSH op Linux-distributies die gebruikmaken van de musl library. Dit betreft onder andere Alpine Linux, OpenWRT, Buildroot en Yocto, aldus onderzoeker Özgün Kültekin die het lek ontdekte. OpenSSH, ook bekend als OpenBSD Secure Shell, is een verzameling netwerktools gebaseerd op het SSH-protocol, waarmee gebruikers op een beveiligde manier kunnen inloggen op servers of op afstand machines beheren.
Het lek maakt het mogelijk om op kwetsbare systemen in te loggen met een wachtwoord van meer dan 256 karakters op accounts die normaal gesproken geen wachtwoordauthenticatie accepteren. Voor misbruik gelden meerdere voorwaarden: de OpenSSH daemon (sshd) moet op musl draaien, er mag geen gebruik worden gemaakt van PAM (Pluggable Authentication Modules), wachtwoordauthenticatie moet ingeschakeld zijn (standaard het geval), er moet een account zijn met alleen een * als wachtwoord (zoals key-only users, LDAP-gebruikers of root op Alpine Linux) en er moet een ander account met een geldig wachtwoord bestaan. Vervolgens kan men op de accounts met een * wachtwoord inloggen met elk wachtwoord langer dan 256 karakters.
Het gebruik van een * als wachtwoord is een oude praktijk die teruggaat tot de tijd dat wachtwoordhashes in /etc/password stonden en voor iedereen leesbaar waren. Bill Joy, medeoprichter van Sun en maker van Berkeley Unix, plaatste in 1980 een * voor het account daemon om inloggen te voorkomen. Omdat een * geen geldige hash is, komt geen enkel wachtwoord ermee overeen. Unix-systemen hanteren deze methode nog steeds, legt Kültekin uit. Het probleem ontstaat door de manier waarop musl lange wachtwoorden verwerkt bij accounts met een * als wachtwoord.
Deze kwetsbaarheid komt onder meer voor in officiële AWS- en Azure-images van Alpine Linux, waar de standaard 'alpine' gebruiker rootrechten heeft. In OpenSSH 10.6p2 is een mitigatie doorgevoerd om het probleem te verhelpen. OpenSSH benadrukt dat de hoofdoorzaak buiten de software ligt, maar dat het via OpenSSH misbruikt kan worden. Daarom is besloten de update snel uit te brengen, mede uit vrees dat AI-agents het lek zouden ontdekken.
Alpine Linux roept alle gebruikers op die sshd draaien om OpenSSH te updaten en de sshd-service te herstarten, omdat alleen updaten niet voldoende is om de draaiende daemon te vervangen. Voor gebruikers die nog niet kunnen updaten, wordt aanbevolen om wachtwoordauthenticatie in de sshd-configuratie uit te schakelen en sshd opnieuw te starten. Volgens Alpine Linux kan een aanvaller die toegang heeft tot de SSH-poort zonder wachtwoord inloggen, met slechts één verbinding en zonder extra pogingen.
Beveiligingsonderzoeker Kevin Beaumont meldt dat er al actief misbruik wordt gemaakt van deze kwetsbaarheid.
