De makers van OpenSSH waarschuwen voor een kritieke kwetsbaarheid waardoor de authenticatie op bepaalde systemen is te omzeilen. Het probleem bevindt zich niet direct in OpenSSH, maar er is wel een nieuwe versie van de software verschenen die een mitigatie bevat. Dat meldt Damien Miller van OpenSSH via Mastodon. De kwetsbaarheid wordt '*sshole' genoemd en raakt OpenSSH op Linux-distributies die gebruikmaken van de musl library. Het gaat onder andere om Alpine Linux, OpenWRT, Buildroot en Yocto, aldus onderzoeker Özgün Kültekin die het probleem ontdekte.

OpenSSH, ook bekend als OpenBSD Secure Shell, is een verzameling van netwerktools gebaseerd op het SSH-protocol, en laat gebruikers op een beveiligde manier op bijvoorbeeld servers inloggen of op afstand machines beheren. De kwetsbaarheid zorgt ervoor dat op kwetsbare systemen het mogelijk is om met een wachtwoord van meer dan 256 karakters in te loggen op accounts die geen wachtwoorden zouden moeten accepteren.

Voorwaarde voor misbruik is afhankelijk van een aantal voorwaarden. Zo moet de OpenSSH daemon (sshd) op musl draaien, wordt er geen gebruikgemaakt van PAM (Pluggable Authentication Modules), staat de mogelijkheid om in te loggen met wachtwoorden op het systeem nog steeds ingeschakeld (wat standaard het geval is), is er een account met alleen een * als wachtwoord (key-only users, ldap users, root op Alpine Linux) en is er een ander account met een echt wachtwoord. Vervolgens is het mogelijk om op de accounts met een * wachtwoord in te loggen met elk wachtwoord dat langer is dan 256 karakters.

Het gebruik van * als wachtwoord dateert van de vorige eeuw. Vroeger werd de wachtwoordhash in /etc/password opgeslagen, direct naast de gebruikersnaam. Dit bestand was door iedereen te lezen. In 1980 plaatste Bill Joy, medeoprichter van Sun en de maker van Berkley Unix, een * voor een account genaamd daemon. Het was de bedoeling dat gebruikers niet op dit account inlogden. Systemen kijken bij de authenticatie naar de hash van het wachtwoord van de gebruiker die wil inloggen. Een * is geen hash, dus geen enkel wachtwoord komt ermee overeen. Unix doet dit nog steeds, zo laat Kültekin weten. Het probleem doet zich voor in de manier waarop musl omgaat met lange wachtwoorden voor accounts waarvoor een * staat ingesteld.

Het gebruik van een * wordt onder andere gedaan in de officiële AWS- en Azure-images van Alpine Linux, voor de standaard 'alpine' user, die root is. Voor de kwetsbaarheid is in OpenSSH 10.6p2 een mitigatie doorgevoerd. OpenSSH stelt dat de hoofdoorzaak van de kwetsbaarheid buiten OpenSSH ligt, maar wel via OpenSSH is te misbruiken. Volgens Miller bevindt OpenSSH zich dan ook in een goede positie om het probleem te mitigeren. Hij voegt toe dat is besloten om de nieuwe versie zo snel mogelijk uit te brengen, gezien het risico dat AI-agents het probleem zouden ontdekken. OpenSSH werd gisteren ingelicht over het bestaan van de kwetsbaarheid en is vandaag met de mitigatie gekomen.

Alpine Linux roept alle gebruikers op die sshd draaien om OpenSSH te updaten en sshd te herstarten. Het updaten van alleen de software is niet voldoende, aangezien dit niet de draaiende OpensSSH daemon vervangt. Gebruikers die nog niet kunnen updaten worden opgeroepen om het inloggen door middel van wachtwoorden in de sshd-configuratie uit te schakelen en daarna sshd te herstarten. "Een aanvaller die je SSH-poort kan benaderen kan inloggen zonder enig wachtwoord te weten. Het vereist één verbinding, werkt altijd en vereist geen nieuwe pogingen", aldus de Linux-distributie.