Nowo ujawniona luka związana z OpenSSH i biblioteką musl może pozwolić na zalogowanie się do niektórych kont Linux, dla których administrator wyłączył uwierzytelnianie hasłem. Problem otrzymał od badacza Ozguna Kulte Kina nazwę „*sshole”. W określonych konfiguracjach wystarczyło przesłać nadmiernie długie hasło, aby mechanizm sprawdzania danych uwierzytelniających potraktował konto jako poprawnie zweryfikowane.
Podatność dotyczy serwerów OpenSSH działających w dystrybucjach Linux korzystających z biblioteki musl. Wśród wskazanych systemów znalazły się Alpine Linux, OpenWrt, Buildroot i Yocto. Błąd ma wynikać ze sposobu, w jaki OpenSSH obsługuje konta bez użytecznego hasła oraz błędy zwracane podczas jego sprawdzania. Konta Linux mogą być zabezpieczone przed logowaniem hasłem przez zastąpienie wpisu z hasłem w pliku /etc/shadow znakiem gwiazdki. Taki wpis nie jest prawidłowym hashem hasła, więc standardowo żadne hasło nie powinno umożliwić dostępu. Zmiana wprowadzona w OpenSSH w 2016 roku, mająca utrudnić rozpoznawanie poprawnych nazw użytkowników na podstawie czasu odpowiedzi, sprawiła jednak, że program wykonywał dodatkowe operacje także dla kont bez użytecznego hasła.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Lekka biblioteka systemowa języka C używana między innymi w Alpine Linux oraz innych systemach opartych na musl.
Popularna biblioteka systemowa języka C używana przez wiele dystrybucji Linux, między innymi Debian, Ubuntu i Fedora.
PAM to zarządzanie uprzywilejowanym dostępem, czyli kontrola szczególnie szerokich uprawnień w systemach.
Źródłem problemu jest zachowanie funkcji crypt() w bibliotece musl. W przypadku nieudanego przetwarzania hasła, między innymi po przekroczeniu obsługiwanego limitu długości, funkcja może zwrócić znak gwiazdki. OpenSSH porównuje wtedy otrzymany wynik z wartością zapisaną przy koncie. Przy określonej konfiguracji oba wpisy mogą wyglądać tak samo, mimo że konto miało być całkowicie wyłączone z logowania hasłem. To nie jest uniwersalne obejście haseł, lecz błąd dotyczący konkretnej kombinacji systemu i ustawień.
Badacz zwrócił uwagę, że oficjalne obrazy Alpine Linux przeznaczone dla usług AWS i Azure zawierają domyślne konto „alpine”. Konto to ma uprawnienia do użycia narzędzia doas bez podawania hasła. Jeżeli taki system był podatny i doszło do skutecznego wykorzystania luki, atakujący mógł uzyskać również uprawnienia root. Znaczenie problemu zależy więc nie tylko od samej obecności serwera OpenSSH, lecz także od konfiguracji kont i uprawnień w konkretnym środowisku.
Lukę naprawiono w OpenSSH 10.6p2. Administratorzy systemów opartych na musl powinni zaktualizować pakiety OpenSSH z wykorzystaniem standardowego mechanizmu aktualizacji danej dystrybucji. Jeżeli szybka instalacja poprawki nie jest możliwa, źródło zaleca tymczasowe wyłączenie uwierzytelniania hasłem przez SSH i ponowne uruchomienie usługi. Nie zastępuje to aktualizacji, ale ogranicza opisany wektor dostępu.
Warto również przejrzeć logi uwierzytelniania pod kątem udanych logowań hasłem na konta, które powinny odrzucać taką metodę. Szczególnej uwagi wymagają wpisy dotyczące domyślnego konta „alpine”. Jeżeli logi pokazują udane logowanie hasłem, a konfiguracja konta wskazuje na blokadę tej metody, może to świadczyć o wykorzystaniu luki i wymaga dalszej analizy administracyjnej. Badacz przekazał, że wykrył problem z pomocą agentów AI, które przeprowadziły około 17 600 testów różnych konfiguracji OpenSSH, nieprawidłowych wpisów haseł i nadmiernie długich danych uwierzytelniających.
Brak komentarzy. Bądź pierwszy!