گزارش فنی آسیب‌پذیری بحرانی در OpenSSH (CVE-2026-123158) و بهره‌برداری فعال

OpenSSH flaw exploited in the wild just hours after disclosure (CVE-2026-123158)

یک آسیب‌پذیری امنیتی در OpenSSH با شناسه CVE-2026-123158 به مهاجمان اجازه می‌دهد بدون نیاز به رمز عبور، به حساب‌های کاربری فاقد رمز در سیستم‌های مبتنی بر musl مانند Alpine Linux نفوذ کنند. این نقص که با نام sshole شناخته می‌شود، بلافاصله پس از انتشار عمومی مورد بهره‌برداری مهاجمان قرار گرفته است.

جزئیات فنی و ریشه آسیب‌پذیری

این آسیب‌پذیری که توسط Özgün Kültekin کشف شده، ناشی از تداخل عملکردی بین OpenSSH و کتابخانه C موسوم به musl است. در سیستم‌های مبتنی بر musl، حساب‌هایی که فاقد رمز عبور هستند، در فایل etc/shadow با علامت * مشخص می‌شوند. به دلیل تغییراتی که در سال ۲۰۱۶ برای مقابله با حملات زمان‌بندی (CVE-2016-6210) اعمال شد، OpenSSH در صورت نبود هش معتبر، از salt حساب‌های دیگر استفاده می‌کند.

از سوی دیگر، تابع crypt در کتابخانه musl از سال ۲۰۱۲ از پذیرش رمزهای عبور طولانی‌تر از ۲۵۶ بایت برای الگوریتم‌های SHA-256 و SHA-512 خودداری کرده و در صورت خطا، مقدار * را بازمی‌گرداند. این تطابق خروجی با علامت * موجود در فایل shadow، باعث می‌شود sshd به اشتباه احراز هویت را موفق تلقی کرده و اجازه دسترسی غیرمجاز را صادر کند.

دامنه تأثیر و وضعیت بهره‌برداری

این نقص نسخه‌های پیش از 10.6p2 را در سیستم‌عامل‌هایی که از musl استفاده می‌کنند و فاقد PAM هستند، تحت تأثیر قرار می‌دهد. سیستم‌هایی نظیر Alpine Linux، OpenWrt، Buildroot و Yocto در معرض خطر هستند. به ویژه تصاویر ابری Alpine در AWS و Azure که دارای کاربر پیش‌فرض بدون رمز عبور هستند، در معرض دسترسی ریشه (root) قرار دارند.

شرکت Previdian گزارش داده است که کمتر از ۹ ساعت پس از انتشار جزئیات، حملات فعالی از یک آدرس IP در ژاپن (89.116.89.18) مشاهده شده که منجر به دسترسی موفق ریشه در محیط‌های honeypot شده است. مهاجمان با ارسال رمزهای عبور طولانی‌تر از ۲۵۶ کاراکتر، احراز هویت را دور زده و دستورات شناسایی سیستم را اجرا کرده‌اند.

نکته‌های کلیدی

• شناسه آسیب‌پذیری: CVE-2026-123158 (موسوم به sshole).
• سیستم‌های آسیب‌پذیر: توزیع‌های لینوکسی مبتنی بر musl (مانند Alpine Linux) بدون استفاده از PAM.
• وضعیت بهره‌برداری: حملات فعال در سطح اینترنت مشاهده شده است.
• سیستم‌های امن: توزیع‌های مبتنی بر glibc (مانند Debian، Ubuntu، Fedora) و سیستم‌های دارای PAM یا Dropbear ایمن هستند.

چه باید کرد

• ارتقای فوری OpenSSH به نسخه 10.6p2 در تمامی سیستم‌های مبتنی بر musl.
• پس از نصب وصله، حتماً سرویس sshd را برای اعمال تغییرات ری‌استارت کنید.
• در صورت عدم امکان به‌روزرسانی فوری، گزینه PasswordAuthentication را در تنظیمات sshd بر روی no قرار دهید یا دسترسی SSH را محدود کنید.
• بررسی لاگ‌های سیستم در var/log/messages برای یافتن ورودی‌های مشکوک با عنوان Accepted password for برای حساب‌های کاربری فاقد رمز.
• بررسی فایل‌های authorized_keys، کاربران جدید ایجاد شده و لاگ‌های doas برای اطمینان از عدم نفوذ قبلی.