हमलावर कुछ Alpine Linux सिस्टम को प्रभावित करने वाली SSH पासवर्ड-बाइपास दोष का दुरुपयोग कर रहे हैं, जिसमें GreyNoise ने सफल दुरुपयोग की रिपोर्ट की है और अन्य सुरक्षा कंपनियों ने हमले की गतिविधि का पता लगाया है।
ग्रे नॉइज ने 6 नवंबर को कहा कि वह वल्नरेबिलिटी की "स्कैनिंग, दुरुपयोग के प्रयास और सफल दुरुपयोग" की निगरानी कर रहा है, जिसे SSHole के नाम से जाना जाता है और CVE-2026-123158 के रूप में ट्रैक किया जाता है।
https://x.com/i/status/2118820867493056753
अलग से, Previdian चार सेंसरों से 13 अलग-अलग IP पतों से 20 दुरुपयोग के प्रयासों की रिपोर्ट करता है, जिनकी तारीख 6–8 नवंबर है। कंपनी चेतावनी देती है कि इसके सेंसर अवलोकन से यह स्थापित नहीं होता है कि लक्ष्य भेद्य थे या नहीं और न ही यह कि प्रयास सफल हुए या नहीं।
watchTowr ने 6 नवंबर को दुरुपयोग की रिपोर्ट की, जिसमें कहा गया कि गतिविधि में “बॉटनेट्स और क्रिप्टो माइनर्स” शामिल थे।
हमले नवंबर 5 को OpenSSH 10.6p2 के रिलीज के बाद हुए, जिसमें PAM प्रामाणिकरण अक्षम होने पर musl कोड लाइब्रेरी का उपयोग करने वाले लिनक्स सिस्टम के लिए एक कार्यवाही शामिल की गई थी। दि डिफाइंट ने इस दोष को कवर किया जब फिक्स जारी किया गया।
Alpine की सलाह संचालकों को अपने Alpine शाखा के लिए पैच लगाए गए OpenSSH पैकेज को स्थापित करने और SSH सर्वर, sshd को पुनः शुरू करने के लिए कहती है। केवल पैकेज को अपडेट करने से चल रहा सर्वर प्रक्रिया अपरिवर्तित रहता है। पैच लगाने में असमर्थ संचालकों को PasswordAuthentication no सेट करके सेवा को पुनः शुरू करना चाहिए।
केवल कुंजी वाले खाते अभी भी सुरक्षित नहीं हो सकते
दुरुपयोग के लिए एक पहुंचने योग्य SSH सर्वर आवश्यक है जिसमें पासवर्ड प्रमाणीकरण सक्षम हो और PAM, एक प्रमाणीकरण ढांचा, अक्षम हो। Alpine का मानक openssh-server पैकेज PAM के बिना बनाया गया है। इसका PAM सक्षम विकल्प UsePAM yes के साथ कॉन्फ़िगर किए जाने पर प्रभावित नहीं होता है।
मशीन के पास एक लॉगिन-योग्य खाता भी होना चाहिए जिसका संग्रहित पासवर्ड क्षेत्र एक तारा (*) हो, और एक अन्य खाता भी हो जिसका SHA-256 या SHA-512 पासवर्ड हैश हो। यह संयोजन कुंजी-केवल एक्सेस के लिए निर्धारित खातों को प्रकट कर सकता है: एक अतिरिक्त लंबा पासवर्ड musl के हैशिंग फ़ंक्शन को एक तारा (*) त्रुटि संकेत के रूप में लौटाता है, जो फिर खाते के संग्रहित क्षेत्र से मेल खाता है।
एल्पाइन चला रहे क्रिप्टो नोड, वैलिडेटर और एक्सचेंज ऑपरेटर्स के लिए, संबंधित जांच होस्ट की SSH सेवा और प्रमाणीकरण सेटिंग्स है—न कि यह कि कोई एप्लिकेशन एल्पाइन-आधारित कंटेनर का उपयोग करती है या नहीं। एल्पाइन कहती है कि जो कंटेनर sshd नहीं चलाते, वे प्रभावित नहीं हैं।
अल्पाइन ने चेतावनी दी है कि 3.18.11 से 3.24.3 तक की उनकी अपैच्ड टिनी-क्लाउड इमेजेस पहली बार बूट होने पर सुरक्षित होती हैं, लेकिन यदि किसी SHA-512 पासवर्ड हैश को जोड़ दिया जाए, जैसे कि कंसोल पासवर्ड सेट करके, तो वे दुरुपयोग के लिए उपलब्ध हो जाती हैं। एक हमलावर फिर alpine यूजर के रूप में प्रवेश कर सकता है और इसके पासवर्डहीन प्रशासनिक पहुंच के माध्यम से रूट अधिकार प्राप्त कर सकता है।
पासवर्ड प्रमाणीकरण बंद करने से पहले, अल्पाइन सलाह देता है कि आप जांच लें कि SSH-कुंजी लॉगिन काम कर रहा है और नए लॉगिन की जांच के दौरान मौजूदा सत्र खुला रखें।
प्रकट मशीनों के लिए, सलाह में ऐसे खातों के लिए लॉग की समीक्षा करने की सिफारिश की गई है जिनमें कोई पासवर्ड नहीं है, साथ ही प्रशासनिक गतिविधि और नवीनतम बनाए गए उपयोगकर्ता, फ़ाइलें और अधिकृत कुंजियाँ। यदि कोई लॉगिन को असंभव नहीं माना जा सकता है, तो Alpine कहता है कि मशीन को संक्रमित माना जाए।