Aanvallers maken misbruik van de '*SSHole' kwetsbaarheid in OpenSSH, zo melden verschillende cybersecuritybedrijven. Via het beveiligingslek kunnen aanvallers op bepaalde systemen met een wachtwoord van meer dan 256 karakters inloggen op accounts die geen wachtwoorden zouden moeten accepteren. Het probleem, dat Linux-distributies raakt die gebruikmaken van de musl library (Alpine Linux, OpenWRT, Buildroot en Yocto), bevindt zich niet direct in OpenSSH, maar er is wel een nieuwe versie van de software verschenen die een mitigatie bevat.

OpenSSH, ook bekend als OpenBSD Secure Shell, is een verzameling van netwerktools gebaseerd op het SSH-protocol, en laat gebruikers op een beveiligde manier op bijvoorbeeld servers inloggen of op afstand machines beheren. De kwetsbaarheid zorgt ervoor dat op kwetsbare systemen het mogelijk is om met een wachtwoord van meer dan 256 karakters in te loggen op accounts die geen wachtwoorden zouden moeten accepteren.

Voorwaarde voor misbruik is afhankelijk van een aantal voorwaarden. Zo moet de OpenSSH daemon (sshd) op musl draaien, wordt er geen gebruikgemaakt van PAM (Pluggable Authentication Modules), staat de mogelijkheid om in te loggen met wachtwoorden op het systeem nog steeds ingeschakeld (wat standaard het geval is), is er een account met alleen een * als wachtwoord (key-only users, ldap users, root op Alpine Linux) en is er een ander account met een echt wachtwoord.

Het OpenSSH-team werd op 4 november over de kwetsbaarheid ingelicht en kwam op 5 november met OpenSSH 10.6p2 die de mitigatie bevat. Volgens cybersecuritybedrijf Previdian vonden de eerste aanvallen 9 uur na het verschijnen van de update plaats. "De kwetsbaarheid maakt het mogelijk voor een heel lang wachtwoord om voor bepaalde accounts op kwetsbare musl-gebaseerde systemen, waar PAM staat uitgeschakeld en wachtwoordauthenticatie staat ingeschakeld, de authenticatie te omzeilen."

Cybersecuritybedrijf watchTowr maakt ook melding van actief misbruik, waarbij aanvallers via de kwetsbaarheid systemen onderdeel van botnets maken of cryptominers installeren. Die gebruiken de rekenkracht van besmette systemen voor het minen van cryptovaluta. "We zijn benieuwd wat er daarna gebeurt", aldus de onderzoekers. Het Nationaal Cyber Security Centrum (NCSC) stelt dat het vanuit securityoogpunt wordt afgeraden om SSH-beheerdiensten rechtstreeks aan het internet bloot te stellen. "Beperk de toegang waar mogelijk tot vertrouwde netwerken en schakel wachtwoordauthenticatie uit wanneer deze niet noodzakelijk is."