سوءاستفاده فعال از آسیب‌پذیری حیاتی OpenSSH در سیستم‌های لینوکسی
Vulnerability that lets hackers SSH into Linux devices is under active exploitation
محققان امنیت سایبری گزارش داده‌اند که آسیب‌پذیری بحرانی موسوم به *sshole با شناسه CVE-2026-123158 تحت بهره‌برداری فعال مهاجمان قرار دارد. این نقص امنیتی به مهاجمان اجازه می‌دهد تا در عرض چند ثانیه به حساب‌های کاربری دارای دسترسی بالا در برخی سیستم‌های لینوکسی دسترسی بدون احراز هویت پیدا کنند.
جزئیات فنی و شرایط بروز آسیب‌پذیری
آسیب‌پذیری CVE-2026-123158 ناشی از نحوه تعامل میان OpenSSH و کتابخانه کد musl است. این نقص زمانی رخ می‌دهد که OpenSSH در کنار کتابخانه musl اجرا شود و همزمان از ماژول‌های احراز هویت قابل اتصال یا PAM استفاده نکند. علاوه بر این، تنظیمات SSH باید دو شرط دیگر را نیز داشته باشند: نخست اینکه حداقل یک حساب کاربری با رمز عبور هش شده با توابع SHA256 یا SHA512 وجود داشته باشد و دوم اینکه فایل /etc/shadow برای برخی حساب‌ها به واسطه علامت ستاره یا کاراکتر مشخص شده فاقد رمز عبور باشد.
هنگامی که مهاجمان رمز عبوری با طول بیش از ۲۵۶ کاراکتر برای یک حساب کاربری بدون رمز عبور وارد می‌کنند، سرور OpenSSH آن را هش کرده و با مقدار ذخیره‌شده مقایسه می‌کند. این ورودی بیش از حد مجاز خطایی ایجاد می‌کند که باعث می‌شود تابع هش‌کننده رمز عبور در کتابخانه musl مقدار ستاره را برگرداند. به گفته Red Hat، این حمله از تفسیر نادرست اینکه آیا یک رشته به عنوان هش رمز عبور در نظر گرفته شده است یا خیر، سوءاستفاده می‌کند.
گزارش‌های بهره‌برداری فعال و گروه‌های مهاجم
این آسیب‌پذیری از پنجشنبه گذشته به صورت عمومی شناخته شد و تنها پس از چهار روز، نشانه‌های بهره‌برداری واقعی از آن مشاهده گردید. شرکت امنیتی Greynoise اعلام کرد که هانی‌پات‌های این شرکت در آسیای جنوب شرقی توسط گروهی به نام GT10 هدف حملات نفوذ پیشرفته قرار گرفته‌اند. این گروه همچنین پکیج Python3 را روی ماشین‌هایی که آن را ندارند نصب می‌کند تا بکلدور خود موسوم به TAC Agent را اجرا کند. این بکلدور شامل کامنت‌هایی به زبان چینی است و به نظر می‌رسد با کمک هوش مصنوعی تولید شده است و از دستورات شل، شناسایی سیستم و استمرار پشتیبانی می‌کند.
محققان شرکت watchTowr نیز از مشاهده فعالیت‌های بهره‌برداری مرتبط با بات‌نت‌ها و رمزارزها خبر دادند. شرکت امنیتی Previdian نیز گزارش داد که سنسورهای این شرکت ۲۰ تلاش برای بهره‌برداری از ۱۳ آدرس IP منحصر به فرد در ۹ کشور را شناسایی کرده‌اند. این آسیب‌پذیری تهدید جدی برای ماشین‌های متعددی، به ویژه سیستم‌عامل‌های سبک وزن لینوکس مانند Alpine ایجاد کرده است.
پیامدها و راهکارهای اصلاحی
مهاجمان می‌توانند به راحتی و در عرض چند ثانیه دستورات مخرب را به میلیون‌ها سرور SSH متصل به اینترنت ارسال کرده و سیستم‌های آسیب‌پذیر را شناسایی کنند. OpenSSH یک اصلاحیه منتشر کرده است که از کارکرد این حملات جلوگیری می‌کند.
نکته‌های کلیدی
- وجود آسیب‌پذیری بحرانی *sshole با شناسه CVE-2026-123158 در OpenSSH و کتابخانه musl
- امکان دستیابی مهاجمان به حساب‌های سطح بالا بدون احراز هویت در چند ثانیه
- شناسایی حملات فعال توسط گروه‌هایی مانند GT10 و استفاده از بکلدور TAC Agent
- تهدید جدی برای سیستم‌عامل‌های لینوکسی سبک مانند Alpine
چه باید کرد
- به‌روزرسانی فوری OpenSSH برای جلوگیری از حملات
- بررسی بیشتر سیستم‌های استفاده‌کننده از کتابخانه musl توسط مدیران سیستم
آسیب‌پذیری‌های این خبر
این خبر در منابع دیگر
- Security Affairs: افزودن آسیب‌پذیری‌های IBM، SignalWire FreeSwitch، OpenSSH و GPUStack به فهرست بهره‌برداری‌های شناخته‌شده CISA ↗
- The Hacker News: هشدار CISA درباره بهره‌برداری فعال از آسیب‌پذیری‌های OpenSSH، GPUStack، FreeSWITCH و IBM ↗
- SecurityWeek: بهره‌برداری از آسیب‌پذیری‌های IBM Aspera Faspex و SignalWire FreeSwitch در حملات سایبری ↗
- BleepingComputer: سوءاستفاده هکرها از آسیب‌پذیری SSHole در OpenSSH برای نفوذ به سیستم‌های لینوکسی ↗