Злоумышленники эксплуатируют уязвимость обхода пароля SSH, затрагивающую некоторые системы Alpine Linux, при этом GreyNoise сообщает о успешных эксплуатациях, а другие компании по кибербезопасности фиксируют активность атак.
GreyNoise заявил 6 ноября, что отслеживает «сканирование, попытки эксплуатации и успешную эксплуатацию» уязвимости, известной как SSHole и идентифицированной как CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Отдельно Previdian сообщает о 20 попытках эксплуатации с 13 различных IP-адресов через четыре сенсора, с активностью с 6 по 8 ноября. Компания предупреждает, что наблюдения её сенсоров не позволяют определить, были ли цели уязвимы или удалось ли осуществить попытки.
watchTowr также сообщил о эксплуатации 6 ноября, заявив, что деятельность включала «ботнеты и криптомайнеры».
Атаки последовали за выпуском OpenSSH 10.6p2 5 ноября, который ввел обходной путь для систем Linux, использующих библиотеку кода musl с отключенной аутентификацией PAM. The Defiant осветил эту уязвимость при выпуске исправления.
Рекомендация Alpine предлагает администраторам установить исправленный пакет OpenSSH для своей ветки Alpine и перезапустить SSH-сервер, sshd. Только обновление пакета не изменяет работающий процесс сервера. Администраторам, которые не могут применить исправление, следует установить PasswordAuthentication no и перезапустить службу.
Аккаунты только по ключу все еще могут быть подвержены риску
Эксплуатация требует доступного SSH-сервера с включенной аутентификацией по паролю и отключенным PAM — фреймворком аутентификации. Стандартный пакет openssh-server в Alpine собран без поддержки PAM. Его альтернатива с поддержкой PAM не затрагивается при настройке с параметром UsePAM yes.
Машина также должна иметь аккаунт, допускающий вход, поле сохраненного пароля которого является звездочкой, плюс как минимум один другой аккаунт с хешем пароля SHA-256 или SHA-512. Такая комбинация может раскрыть аккаунты, предназначенные исключительно для доступа по ключу: слишком длинный пароль заставляет функцию хеширования musl возвращать звездочку в качестве маркера ошибки, что затем совпадает с сохраненным полем аккаунта.
Для операторов крипто-нод, валидаторов и бирж, использующих Alpine, соответствующая проверка — это настройки SSH-сервиса и аутентификации хоста, а не просто наличие приложения в контейнере на базе Alpine. Alpine утверждает, что контейнеры, не запускающие sshd, не затронуты.
Alpine также предупреждает, что его незащищенные образы tiny-cloud с версий 3.18.11 по 3.24.3 безопасны при первом запуске, но становятся уязвимыми, если добавляется хеш пароля SHA-512, например, при установке пароля консоли. Злоумышленник может затем войти под пользователем alpine и получить права root благодаря его административному доступу без пароля.
Перед отключением аутентификации по паролю Alpine рекомендует проверить, что вход по SSH-ключу работает, и сохранять текущую сессию открытой при тестировании нового входа.
Для подверженных риску машин рекомендуется проверить журналы для входов с принятыми паролями в аккаунты, не имеющие паролей, а также административную активность, новых пользователей, файлы и авторизованные ключи. Если вход не может быть исключен, Alpine рекомендует считать машину скомпрометированной.