Уразливість sshole в Linux активно використовують зловмисники
Уразливість sshole в OpenSSH і musl активно експлуатують для доступу до привілейованих акаунтів Linux-систем.
Зловмисники почали активно використовувати критичну уразливість sshole, яка за певних умов дає неавтентифікований доступ до привілейованих облікових записів на Linux-системах. Проблема пов’язана зі взаємодією OpenSSH і бібліотеки musl, повідомляє Ars Technica.
Компанія GreyNoise заявила, що її honeypot-системи у Південно-Східній Азії зазнали атак від групи, яку вона відстежує під назвою GT10. За даними компанії, угруповання здійснювало «зрілі вторгнення» в системи. Дослідники також отримали доступ до сервера GT10, де виявили відомості про можливі інші цілі та інструменти кампанії.
Умови для атаки
Уразливість має ідентифікатор CVE-2026-123158. Вона виникає, коли OpenSSH працює разом із musl — альтернативою поширеній бібліотеці libc — і не використовує PAM, тобто механізм перевірки автентифікації та доступу до облікових записів. Для успішної експлуатації також потрібні щонайменше один обліковий запис із паролем, хешованим за SHA256 або SHA512, та налаштування безпарольних облікових записів через порожнє поле пароля у файлі /etc/shadow.
Атаку запускають введенням пароля довжиною понад 256 символів для безпарольного облікового запису. Під час хешування такого пароля виникає помилка, через яку функція хешування паролів у musl повертає порожній рядок. Red Hat описала проблему як неправильне трактування того, чи призначений рядок бути хешем пароля.
Ознаки використання та оновлення
За даними GreyNoise, GT10 встановлює Python 3 на скомпрометовані машини, якщо пакета там немає, щоб запускати бекдор TAC Agent. Він підтримує виконання команд оболонки, збір відомостей про систему та закріплення в ній. Компанія зазначила, що код бекдора містить коментарі китайською мовою та, ймовірно, був згенерований із використанням ШІ.
Дослідники watchTowr також повідомили про активність, пов’язану з експлуатацією уразливості, яку вони пов’язують із ботнетами та криптовалютою. Компанія Previdian заявила, що її сенсори зафіксували 20 спроб експлуатації з 13 унікальних IP-адрес, геолокованих у дев’яти країнах. OpenSSH уже випустив виправлення, яке блокує атаку. Найбільше ризикують системи на Alpine Linux, де використовується musl.
