بهره‌برداری مهاجمان از آسیب‌پذیری SSHole در OpenSSH برای نفوذ به سیستم‌های لینوکسی
Hackers exploit SSHole OpenSSH flaw to breach Linux systems
آسیب‌پذیری جدیدی با شناسه CVE-2026-123158 در OpenSSH شناسایی شده است که به مهاجمان اجازه می‌دهد با دور زدن احراز هویت، به سیستم‌های لینوکسی مبتنی بر musl نفوذ کنند. این نقص امنیتی که با نام SSHole شناخته می‌شود، به سرعت توسط مهاجمان برای اجرای دستورات، سرقت اطلاعات و ایجاد دسترسی پایدار مورد سوءاستفاده قرار گرفته است.
جزئیات فنی و نحوه عملکرد آسیب‌پذیری
این آسیب‌پذیری توسط محقق امنیتی Ozgun Kultekin کشف شد و سیستم‌هایی را هدف قرار می‌دهد که از کتابخانه musl استفاده می‌کنند، از جمله توزیع Alpine Linux که در محیط‌های ابری و مجازی کاربرد گسترده‌ای دارد. مشکل اصلی در نحوه پردازش توابع هش رمز عبور در musl نهفته است؛ زمانی که یک رمز عبور بیش از حد طولانی ارائه شود، این تابع با خطا مواجه شده و مقدار * را بازمی‌گرداند. OpenSSH به اشتباه این مقدار را با مقدار ذخیره‌شده در فایل shadow که برای غیرفعال کردن ورود با رمز عبور تنظیم شده، مطابقت می‌دهد و اجازه دسترسی می‌دهد.
این نقص تنها در شرایط خاصی از تنظیمات احراز هویت رخ می‌دهد و حساب‌هایی که دارای هش رمز عبور معتبر هستند، تحت تأثیر قرار نمی‌گیرند. با این حال، در صورت وجود دسترسی‌های مدیریتی بدون رمز عبور برای حساب هدف، مهاجم می‌تواند به سطح دسترسی root دست یابد.
گزارش‌های بهره‌برداری و فعالیت‌های مخرب
بهره‌برداری از این نقص از تاریخ ۵ نوامبر، همزمان با انتشار کد اثبات مفهوم (PoC)، آغاز شد. شرکت‌های امنیتی نظیر GreyNoise، Defused، Previdian و watchTower فعالیت‌های مخربی را ثبت کرده‌اند که شامل شناسایی سیستم، جستجو در سرویس‌های ابری، تلاش برای سرقت کلیدهای SSH و تغییر فایل authorized_keys برای حفظ دسترسی است.
در یکی از موارد مشاهده شده، مهاجمان اقدام به نصب بدافزار TAC Agent کردند؛ یک ابزار کنترل و فرمان (C2) به زبان پایتون که قابلیت اجرای دستورات، شناسایی سیستم و انتقال فایل را دارد. تحلیل‌ها نشان می‌دهد که پیام‌ها و لاگ‌های این بدافزار به زبان چینی است و مهاجمان از مکانیزم‌های خودکار برای پیشبرد حملات خود استفاده می‌کنند.
نکته‌های کلیدی
- شناسه آسیب‌پذیری: CVE-2026-123158
- تاریخ انتشار اصلاحیه: ۵ نوامبر در نسخه 10.6p2
- سیستم‌های آسیب‌پذیر: توزیع‌های لینوکسی مبتنی بر musl مانند Alpine Linux
- پیامدها: دور زدن احراز هویت، دسترسی غیرمجاز و اجرای دستورات با سطح دسترسی root
- مشاهده بدافزار TAC Agent در حملات برای ایجاد دسترسی پایدار
چه باید کرد
- به‌روزرسانی فوری OpenSSH به نسخه 10.6p2 یا بالاتر
- غیرفعال کردن احراز هویت با رمز عبور در سرویس SSH در صورت عدم امکان به‌روزرسانی
- بررسی لاگ‌های سیستم برای شناسایی ورودهای موفق مشکوک به حساب‌هایی که فیلد رمز عبور آن‌ها در etc/shadow با * مشخص شده است
- جستجو برای یافتن کلیدهای SSH غیرمجاز و فایل‌های مرتبط با بدافزار TAC Agent یا سرویس‌های استارتاپ ناشناس
آسیب‌پذیری‌های این خبر
این خبر در منابع دیگر
- Ars Technica: آسیب‌پذیری با قابلیت دسترسی SSH به دستگاه‌های لینوکسی تحت بهره‌برداری فعال است ↗
- SecurityWeek: سوءاستفاده هکرها از آسیب‌پذیری دور زدن احراز هویت SSHole در OpenSSH ↗
- ZDNet How-to: وصله امنیتی Alpine Linux و OpenSSH برای رفع یک آسیب‌پذیری بحرانی ↗
- The Hacker News: هکرها ساعاتی پس از افشای آسیب‌پذیری SSHole در OpenSSH، به آن حمله کردند ↗
- Help Net Security: بهره‌برداری از آسیب‌پذیری OpenSSH (CVE-2026-123158) تنها چند ساعت پس از افشا ↗