攻撃者は、一部のAlpine Linuxシステムに影響を与えるSSHパスワードバイパスの脆弱性を悪用しており、GreyNoiseは成功した攻撃を報告し、他のセキュリティ企業も攻撃活動を検出しています。
GreyNoiseは11月6日、SSHoleと呼ばれ、CVE-2026-123158として追跡されている脆弱性の「スキャン、攻撃試み、および成功した攻撃」を監視していると発表しました。
https://x.com/i/status/2118820867493056753
また、Previdianは、4つのセンサーを通じて13の異なるIPアドレスから20回の攻撃試行が行われ、その活動は11月6日から8日までであったと報告しています。同社は、自社のセンサー観測結果だけでは、対象が脆弱であったかどうか、または攻撃が成功したかどうかを確認できないと注意を促しています。
watchTowrは11月6日に攻撃を報告し、その活動には「ボットネットと暗号通貨マイナー」が関与していたと述べました。
これらの攻撃は、11月5日にOpenSSH 10.6p2がリリースされたことに続いて発生しました。このリリースでは、PAM認証が無効な状態でmuslコードライブラリを使用するLinuxシステム向けの回避策が導入されました。The Defiantは、この修正がリリースされた際にこの脆弱性を報道しました。
Alpineのアドバイザリーは、運営者に対してAlpineブランチ用にパッチ適用済みのOpenSSHパッケージをインストールし、sshdを再起動するよう指示しています。パッケージを更新するだけでは、実行中のサーバープロセスは変更されません。パッチを適用できない運営者は、代わりにPasswordAuthentication noを設定し、サービスを再起動してください。
キーのみの口座も依然として暴露される可能性があります
攻撃には、パスワード認証が有効でPAM（認証フレームワーク）が無効になっている、アクセス可能なSSHサーバーが必要です。Alpineの標準openssh-serverパッケージはPAMなしでビルドされています。UsePAM yesで設定されたPAM対応版は影響を受けません。
そのマシンには、保存されたパスワードフィールドがアスタリスクであるログイン可能な口座が必要であり、さらにSHA-256またはSHA-512のパスワードハッシュを持つ少なくとも1つの他の口座が必要です。この組み合わせにより、鍵のみでのアクセスを意図した口座が露出する可能性があります。過剰に長いパスワードはmuslのハッシュ関数がアスタリスクをエラーマーカーとして返すため、それが口座の保存フィールドと一致します。
Alpineを使用している暗号ノード、バリデーター、および取引所の運用者にとって、関連するチェックは、アプリケーションがAlpineベースのコンテナを使用しているかどうかではなく、ホストのSSHサービスと認証設定です。Alpineは、sshdを実行しないコンテナは影響を受けないと述べています。
Alpineは、3.18.11から3.24.3までのパッチが適用されていないtiny-cloudイメージは初回起動時は安全だが、コンソールパスワードを設定するなどしてSHA-512パスワードハッシュが追加されると、悪用可能になると警告している。攻撃者はその後、alpineユーザーとしてログインし、パスワード不要の管理権限を通じてroot権限を取得できる。
パスワード認証を無効にする前に、AlpineはSSHキーによるログインが正常に動作することを確認し、新しいログインをテスト中に既存のセッションを開いたままにすることを推奨しています。
公開されているマシンについては、パスワードが設定されていないアカウントへのパスワード認証ログイン、管理者活動、新規作成されたユーザー、ファイル、および許可されたキーのログを確認することをお勧めします。ログインを除外できない場合、Alpineはそのマシンを侵害されたものとみなすよう指示しています。