شناسایی بهره‌برداری فعال از آسیب‌پذیری احراز هویت SSHole در OpenSSH
Hackers Exploiting ‘SSHole’ Authentication Bypass in OpenSSH
مهاجمان در حال بهره‌برداری از یک آسیب‌پذیری بحرانی در OpenSSH با شناسه CVE-2026-123158 هستند که امکان دور زدن احراز هویت را فراهم می‌کند. این نقص که با نام SSHole شناخته می‌شود، به‌ویژه سیستم‌عامل‌هایی را که از musl libc استفاده می‌کنند، در معرض دسترسی غیرمجاز قرار می‌دهد.
جزئیات فنی و مکانیزم آسیب‌پذیری
این آسیب‌پذیری ناشی از تفسیر نادرست ماهیت هش رمز عبور در OpenSSH است. در توزیع‌های لینوکسی مانند Alpine، Buildroot، OpenWrt و Yocto که از پیاده‌سازی musl libc بدون ماژول PAM استفاده می‌کنند، حساب‌های کاربری بدون رمز عبور (مانند root) با علامت '*' مشخص می‌شوند.
هنگامی که مهاجم رمز عبوری با طول بین ۲۵۷ تا ۱۰۲۴ کاراکتر ارسال می‌کند، تابع crypt در musl libc شکست خورده و به جای مقدار NULL، کاراکتر '*' را بازمی‌گرداند. از آنجا که این مقدار با علامت '*' ذخیره‌شده برای حساب کاربری مطابقت دارد، سرویس sshd به‌اشتباه رمز عبور را صحیح تلقی کرده و اجازه دسترسی می‌دهد.
وضعیت بهره‌برداری و تأثیرات
گزارش‌های منتشر شده توسط WatchTowr و Previdian تأیید می‌کند که از تاریخ ۶ نوامبر ۲۰۲۶، حملات فعالی در سطح جهان مشاهده شده است. تا ۸ نوامبر ۲۰۲۶، حداقل ۱۳ آدرس IP منحصربه‌فرد از ۹ کشور مختلف برای بهره‌برداری از این نقص شناسایی شده‌اند.
در حال حاضر، این حملات عمدتاً توسط بات‌نت‌ها و استخراج‌کنندگان ارز دیجیتال (Crypto Miners) انجام می‌شود. حساب‌های کاربری در معرض خطر شامل حساب root، کاربران ایجاد شده با adduser بدون رمز عبور، حساب Alpine در تصاویر tiny-cloud و کاربران متصل از طریق musl-nscd هستند.
نکته‌های کلیدی
- شناسه آسیب‌پذیری: CVE-2026-123158
- تأثیرگذاری بر توزیع‌های مبتنی بر musl libc مانند Alpine و OpenWrt
- امکان دسترسی غیرمجاز به حساب‌های کاربری با ارسال رمز عبور طولانی (۲۵۷ تا ۱۰۲۴ کاراکتر)
- مشاهده حملات فعال از ۶ نوامبر ۲۰۲۶ توسط بات‌نت‌ها
چه باید کرد
- به‌روزرسانی فوری OpenSSH به نسخه 10.6p2
- راه‌اندازی مجدد سرویس sshd پس از اعمال وصله امنیتی
- غیرفعال کردن احراز هویت مبتنی بر رمز عبور (Password Authentication) در صورت امکان
- غیرفعال کردن سرویس SSH در صورت عدم نیاز
- بررسی دقیق لاگ‌های سیستم برای شناسایی تلاش‌های مشکوک ورود
آسیب‌پذیری‌های این خبر
این خبر در منابع دیگر
- The Hacker News: هشدار CISA درباره بهره‌برداری فعال از آسیب‌پذیری‌های OpenSSH، GPUStack، FreeSWITCH و IBM ↗
- Ars Technica: آسیب‌پذیری با قابلیت دسترسی SSH به دستگاه‌های لینوکسی تحت بهره‌برداری فعال است ↗
- BleepingComputer: سوءاستفاده هکرها از آسیب‌پذیری SSHole در OpenSSH برای نفوذ به سیستم‌های لینوکسی ↗
- ZDNet How-to: وصله امنیتی Alpine Linux و OpenSSH برای رفع یک آسیب‌پذیری بحرانی ↗
- Help Net Security: بهره‌برداری از آسیب‌پذیری OpenSSH (CVE-2026-123158) تنها چند ساعت پس از افشا ↗