Penyerang sedang memanfaatkan kelemahan pengelakan kata laluan SSH yang mempengaruhi beberapa sistem Alpine Linux, dengan GreyNoise melaporkan pemanfaatan yang berjaya dan firma keselamatan lain mengesan aktiviti serangan.
GreyNoise mengatakan pada 6 Nov ia memantau "pemindayan, cubaan eksploitasi, dan eksploitasi berjaya" terhadap kelemahan tersebut, dikenali sebagai SSHole dan dilacak sebagai CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Secara berasingan, Previdian melaporkan 20 cubaan eksploitasi dari 13 alamat IP berbeza melalui empat sensor, dengan aktiviti berlangsung pada 6–8 Nov. Syarikat tersebut memperingatkan bahawa pemerhatian sensor mereka tidak menetapkan sama ada sasaran adalah rentan atau sama ada cubaan tersebut berjaya.
watchTowr juga melaporkan eksploitasi pada 6 Nov, mengatakan aktiviti tersebut melibatkan “botnet dan penambang kripto.”
Serangan tersebut mengikuti pelancaran OpenSSH 10.6p2 pada 5 Nov, yang memperkenalkan penyelesaian sementara untuk sistem Linux yang menggunakan pustaka kod musl dengan pengesahan PAM dimatikan. The Defiant melaporkan kelemahan tersebut apabila pembaikan dilancarkan.
Peringatan Alpine memberi arahan kepada pengendali untuk memasang pakej OpenSSH yang telah diperbaiki untuk cabang Alpine mereka dan memulakan semula pelayan SSH, sshd. Memperbaharui pakej sahaja tidak mengubah proses pelayan yang sedang berjalan. Pengendali yang tidak dapat memperbaiki seharusnya menetapkan PasswordAuthentication no dan memulakan semula perkhidmatan sebagai gantinya.
Akaun Hanya Kunci Masih Boleh Diterdedahkan
Pengeksploitasian memerlukan server SSH yang boleh dicapai dengan pengesahan kata laluan diaktifkan dan PAM, kerangka pengesahan, dimatikan. Paket openssh-server piawai Alpine dibina tanpa PAM. Alternatifnya yang menyokong PAM tidak terkesan apabila dikonfigurasikan dengan UsePAM yes.
Mesin tersebut juga mesti mempunyai akaun yang layak log masuk, di mana medan kata laluan yang disimpan ialah tanda bintang, ditambah sekurang-kurangnya satu akaun lain dengan hash kata laluan SHA-256 atau SHA-512. Kombinasi ini boleh mendedahkan akaun yang ditujukan untuk akses hanya dengan kunci: kata laluan yang terlalu panjang menyebabkan fungsi penghanciran musl mengembalikan tanda bintang sebagai penanda ralat, yang kemudian sepadan dengan medan yang disimpan pada akaun tersebut.
Untuk pengendali nod kripto, validator dan bursa yang menjalankan Alpine, semakan yang relevan ialah perkhidmatan SSH dan tetapan autentikasi hos—bukan semata-mata sama ada aplikasi menggunakan kontena berasaskan Alpine. Alpine mengatakan kontena yang tidak menjalankan sshd tidak terjejas.
Alpine juga memperingatkan bahawa imej tiny-cloud yang tidak diperbaiki daripada 3.18.11 hingga 3.24.3 adalah selamat pada pemuatan pertama tetapi menjadi boleh dieksploitasi sekiranya hash kata laluan SHA-512 ditambah, seperti dengan menetapkan kata laluan konsol. Serangannya boleh masuk sebagai pengguna alpine dan mendapat hak root melalui akses pentadbiran tanpa kata laluan.
Sebelum mematikan pengesahan kata laluan, Alpine menasihatkan untuk memeriksa bahawa log masuk dengan kunci SSH berfungsi dan mengekalkan sesi sedia ada terbuka semasa menguji log masuk baru.
Bagi mesin yang terdedah, nasihat tersebut mencadangkan semakan log untuk log masuk kata laluan yang diterima ke akaun yang tidak mempunyai kata laluan, bersama dengan aktiviti pentadbir dan pengguna, fail, serta kunci yang diberi kebenaran yang baru dicipta. Jika log masuk tidak boleh dikesan sebagai tidak mungkin, Alpine menyarankan untuk memperlakukan mesin tersebut sebagai telah diserang.