المهاجمون يستغلون ثغرة تجاوز كلمة مرور SSH التي تؤثر على بعض أنظمة Alpine Linux، مع إبلاغ GreyNoise عن استغلال ناجح وكشف شركات أمنية أخرى عن نشاط هجمات.
قالت GreyNoise في 6 نوفمبر إنها تراقب "المسح، محاولات الاستغلال، والاستغلال الناجح" للثغرة المعروفة باسم SSHole والمُسجلة كـ CVE-2026-123158.
https://x.com/i/status/2118820867493056753
على حدة، أفاد Previdian بمحاولة استغلال 20 مرة من 13 عنوان IP مختلف عبر أربع حساسات، مع نشاط مُسجل بين 6 و8 نوفمبر. وتحذر الشركة أن ملاحظاتها من الحساسات لا تثبت ما إذا كانت الأهداف عرضة للهجوم أو ما إذا نجحت المحاولات.
أبلغ watchTowr أيضًا عن الاستغلال في 6 نوفمبر، قائلًا إن النشاط شمل "شبكات البوتات ومحفّزات العملات المشفرة."
تتبع الهجمات إصدار OpenSSH 10.6p2 في 5 نوفمبر، الذي أدخل حلاً مؤقتاً لأنظمة لينكس التي تستخدم مكتبة كود musl مع تعطيل مصادقة PAM. <s5غطت Defiant الثغرة عند إصدار الإصلاح.
يُوصي إرشاد Alpine المشغلين بتثبيت حزمة OpenSSH المُصلحة لفرع Alpine الخاص بهم وإعادة تشغيل خادم SSH، sshd. إن تحديث الحزمة وحده لا يُغيّر عملية الخادم الجارية. يجب على المشغلين الذين لا يستطيعون التصحيح ضبط PasswordAuthentication no وإعادة تشغيل الخدمة بدلاً من ذلك.
يمكن لا تزال الحسابات المبنية على المفتاح فقط معرضة
يتطلب الاستغلال خادم SSH قابلًا للوصول مع تمكين المصادقة بالكلمة المرور وتعطيل PAM، وهو إطار مصادقة. تم بناء حزمة openssh-server القياسية في Alpine بدون PAM. البديل المُمكّن لـ PAM غير متأثر عند تكوينه مع UsePAM yes.
يجب أن يكون للجهاز أيضًا حساب مؤهل للتسجيل، حيث يكون حقل كلمة المرور المخزنة نجمة (*)، بالإضافة إلى حساب آخر على الأقل يحتوي على تجزئة كلمة مرور SHA-256 أو SHA-512. يمكن أن يكشف هذا المزيج عن الحسابات المخصصة للوصول باستخدام المفتاح فقط: فكلمة المرور الكبيرة جدًا تجعل دالة التجزئة الخاصة بـ musl تُرجع نجمة (*) كعلامة خطأ، والتي تتطابق بعد ذلك مع الحقل المخزن للحساب.
للمشغلين العاملين على عقد الكريبتو والموافقين ومشغلي البورصات الذين يستخدمون Alpine، فإن التحقق ذي الصلة هو خدمة SSH وإعدادات المصادقة الخاصة بالمضيف—وليس فقط ما إذا كان التطبيق يستخدم حاوية مبنية على Alpine. تقول Alpine إن الحاويات التي لا تعمل على sshd غير متأثرة.
كما تحذر Alpine أن صور tiny-cloud غير المُصلحة من الإصدار 3.18.11 حتى 3.24.3 آمنة عند التشغيل الأولي، لكنها تصبح عرضة للاستغلال إذا أُضيفت ملخص كلمة مرور SHA-512، مثلما يحدث عند تعيين كلمة مرور للوحدة النمطية. يمكن للمهاجم بعد ذلك الدخول كمستخدم alpine</s12] واكتساب صلاحيات الجذر من خلال وصوله الإداري بدون كلمة مرور.
قبل تعطيل مصادقة كلمة المرور، تنصح Alpine بالتحقق من أن تسجيل الدخول بمفتاح SSH يعمل والاحتفاظ بالجلسة الحالية مفتوحة أثناء اختبار تسجيل دخول جديد.
بالنسبة للآلات المكشوفة، يوصي الإشعار بمراجعة السجلات لتسجيلات الدخول المقبولة باستخدام كلمات مرور للحسابات التي لا تحتوي على كلمة مرور، بالإضافة إلى الأنشطة الإدارية والمستخدمين الجدد والملفات ومفاتيح التفويض المنشأة حديثًا. إذا لم يمكن استبعاد تسجيل الدخول، فتوصي Alpine بمعاملة الجهاز على أنه مخترق.