OpenSSH-Schwachstelle „SShole“ ermöglicht Root-Zugriff auf Alpine Linux innerhalb von Stunden

Bedrohungsakteure begannen weniger als neun Stunden nach der öffentlichen Bekanntgabe mit der Ausnutzung einer kritischen OpenSSH-Schwachstelle, die als CVE-2026-123158 und unter dem Codenamen SSHole verfolgt wird. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, Zugriff auf Konten zu erhalten, die für bestimmte Linux-Distributionen, einschließlich Alpine Linux, ohne Passwörter konfiguriert sind. Sicherheitsforscher bestätigten einen erfolgreichen Root-Zugriff auf Honeypots, was das unmittelbare Risiko für Infrastrukturen hervorhebt, die auf Standardkonfigurationen angewiesen sind.

Was passiert ist

Die Schwachstelle betrifft Linux-Systeme, auf denen OpenSSH mit der musl-C-Bibliothek ausgeführt wird und bei denen Pluggable Authentication Modules (PAM) deaktiviert sind. Diese Konfiguration ist in leichtgewichtigen Distributionen wie Alpine Linux üblich, wo sie standardmäßig verwendet wird. Ein Angreifer kann ein übergroßes Passwort zwischen 257 und 1.024 Bytes an ein Konto senden, für das kein verwendbares Passwort festgelegt ist. Anstatt den Login abzulehnen, authentifiziert das System den Benutzer fälschlicherweise.

Der Sicherheitsforscher Ozgun Kultekin entdeckte das Problem, das auf einen Patch zurückgeht, der 2016 eingeführt wurde, um eine andere Schwachstelle, CVE-2016-6210, zu beheben. Die Korrektur zur Verhinderung der Benutzeraufzählung führte unbeabsichtigt zu einem Logikfehler bei der Passwortbehandlung. Wenn der Hashing-Vorgang aufgrund der übermäßigen Eingabe fehlschlägt, gibt OpenSSH ein Sternchenzeichen zurück. Der Daemon vergleicht dieses Ergebnis dann mit dem Sternchen, das im Passwortfeld deaktivierter Konten gespeichert ist, und interpretiert die Übereinstimmung als erfolgreichen Login.

Das Threat-Intelligence-Unternehmen Previdian beobachtete den ersten Exploit-Versuch kurz nach der Veröffentlichung der CVE. Telemetriedaten identifizierten acht Versuche von einer IP-Adresse, die geografisch Japan zugeordnet war. Der Angreifer nutzte übergroße Passwörter, um die Authentifizierung zu umgehen, und führte Reconnaissance-Befehle wie id, uname und hostname über nicht-interaktive SSH-Sitzungen aus. Previdian bestätigte, dass diese Versuche zu einem erfolgreichen Root-Zugriff auf einem Honeypot führten, der Alpine Linux ausführte.

Wie es funktioniert

Der Kernmechanismus basiert darauf, wie OpenSSH die Passwortüberprüfung für Konten handhabt, die absichtlich gesperrt oder ohne Passwort konfiguriert sind. In diesen Fällen speichert das System ein Sternchen (*) im Passwortfeld, um anzuzeigen, dass die Anmeldung per Passwort deaktiviert ist. Normalerweise sollte jeder Passwortversuch fehlschlagen. Wenn ein Angreifer jedoch eine Passwortzeichenfolge angibt, die die erwartete Puffergröße überschreitet, schlägt die interne Hashing-Funktion zwar fehl, gibt aber dasselbe Sternchenzeichen zurück.

Der sshd-Daemon unterscheidet nicht zwischen einem legitimen Hash-Fehler und dem gespeicherten Platzhalter. Er sieht das vom fehlgeschlagenen Hash-Vorgang zurückgegebene Sternchen und gleicht es mit dem Sternchen im Passwortfeld des Kontos ab. Diese logische Kollision täuscht das Authentifizierungsmodul dazu, Zugriff zu gewähren. Der Exploit funktioniert nur bei Konten, bei denen das Passwortfeld explizit auf ein Sternchen gesetzt ist. Er beeinflusst keine Konten mit gültigen Passwort-Hashes oder solche, die PAM für Authentifizierungsprüfungen verwenden.

Dieses Verhalten ist spezifisch für die Interaktion zwischen OpenSSH und der musl-C-Bibliothek. Systeme, die die glibc-Bibliothek, Dropbear SSH oder Nicht-Linux-Betriebssysteme verwenden, sind nicht betroffen. Darüber hinaus bleibt jedes System sicher, das die Passwortprüfung an PAM delegiert, da PAM die Validierungslogik anders handhabt und den fehlerhaften Vergleich innerhalb von OpenSSH vermeidet.

Wichtige Details

• Schwachstellen-ID: CVE-2026-123158 mit einem CVSS-Score von 8,1.
• Betroffene Systeme: Linux-Systeme, die OpenSSH auf musl libc mit deaktiviertem PAM verwenden, insbesondere die Standardkonfigurationen von Alpine Linux.
• Exploit-Methode: Senden eines beliebigen Passworts zwischen 257 und 1.024 Bytes an ein Konto ohne Passwort.
• Patch-Version: Behoben in OpenSSH 10.6p2.
• Aktive Ausnutzung: Erste Versuche wurden weniger als neun Stunden nach der Offenlegung beobachtet; Root-Zugriff auf Honeypots bestätigt.
• Einschränkungen: Betrifft keine glibc-basierten Distributionen, Dropbear oder Systeme, die PAM für die Authentifizierung verwenden.

Warum es wichtig ist

Für Engineering-Teams, die Cloud-Infrastrukturen verwalten, hebt diese Schwachstelle die Risiken hervor, die mit Standardkonfigurationen in leichtgewichtigen Container-Umgebungen verbunden sind. Alpine Linux wird in Docker-Containern und Kubernetes-Clustern aufgrund seiner geringen Größe häufig eingesetzt. Wenn diese Instanzen SSH-Ports offenlegen und sich auf Key-only-Authentifizierung verlassen, ohne Passwortfelder ordnungsgemäß zu deaktivieren oder PAM zu aktivieren, werden sie anfällig für sofortige Übernahme. Die Geschwindigkeit der Ausnutzung zeigt, dass automatisierte Scanner bereits gezielt nach dieser spezifischen Schwachstelle suchen.

Die Auswirkungen gehen über den initialen Zugriff hinaus. Wie Safe Security feststellte, gewährt ein erfolgreicher Angriff die Berechtigungen des kompromittierten Kontos. Wenn das Ziel ein Root-Konto oder ein Dienstkonto mit erhöhten Privilegien ist, können Angreifer auf Bereitstellungszugangsdaten, Anwendungsgeheimnisse und verbundene Infrastruktur zugreifen. Dies erleichtert die laterale Bewegung im Netzwerk und kann zu weitreichenden Dienstunterbrechungen oder Datenexfiltration führen. Die Tatsache, dass der Exploit keine gestohlenen Zugangsdaten erfordert, macht ihn besonders gefährlich für exponierte Dienste.

Was Sie tun können

• Führen Sie sofort ein Upgrade auf OpenSSH 10.6p2 durch oder wenden Sie den gepatchten Paket Ihrer Linux-Distribution an.
• Starten Sie den sshd-Dienst nach dem Update neu, um sicherzustellen, dass die neue Version aktiv ist.
• Prüfen Sie /var/log/messages auf Einträge mit "Accepted password for" bei Konten, die keine Passwörter akzeptieren sollten, wie root oder alpine.
• Überprüfen Sie die Nutzung von doas, kürzlich erstellte Benutzer, Dateien und autorisierte Schlüssel auf allen exponierten Maschinen auf Anzeichen einer Kompromittierung.
• Wenn Sie einen unbefugten Login basierend auf Logs nicht ausschließen können, betrachten Sie die Maschine als kompromittiert und isolieren Sie sie.
• Erwägen Sie die Aktivierung von PAM, wenn Ihre Distribution dies unterstützt, da dies die Schwachstelle mitigiert, indem der Authentifizierungsablauf geändert wird.