Saldırganlar, bazı Alpine Linux sistemlerini etkileyen SSH şifre atlatma açıklarından yararlanıyor ve GreyNoise, başarılı istismarları ve diğer güvenlik firmalarının saldırı aktivitelerini tespit ettiğini rapor ediyor.
GreyNoise, 6 Kasım'da SSHole olarak bilinen ve CVE-2026-123158 olarak izlenen zafiyetin "taranması, istismar girişimleri ve başarılı istismarları" izlediğini söyledi.
https://x.com/i/status/2118820867493056753
Ayrıca, Previdian, dört sensör boyunca 13 farklı IP adresinden 20 istismar girişimi rapor ediyor ve bu faaliyetler 6–8 Kasım tarihli. Şirket, sensör gözlemlerinin hedeflerin savunmasız olup olmadığını veya girişimlerin başarılı olup olmadığını belirlemek için yeterli olmadığını uyarıyor.
watchTowr 6 Kasım'da istismarı bildirdi ve faaliyetin “bot ağları ve kripto madencilerini” içerdiğini söyledi.
Saldırılar, 5 Kasım'da OpenSSH 10.6p2'nin yayınlanması'ndan sonra gerçekleşti; bu sürüm, PAM kimlik doğrulaması devre dışı bırakılmış musl kod kütüphanesini kullanan Linux sistemler için bir geçici çözüm getirdi. The Defiant, düzeltme yayınlandığında bu hata hakkında rapor verdi.
Alpine'in danışmanlığı, operatörlerin Alpine dalları için düzeltilmiş OpenSSH paketini yüklemelerini ve SSH sunucusunu, sshd'yi yeniden başlatmalarını öneriyor. Paketin yalnızca güncellenmesi, çalışan sunucu işlemini değiştirmiyor. Düzeltme yapamayan operatörlerin yerine PasswordAuthentication no ayarını yaparak servisi yeniden başlatmaları gerekiyor.
Sadece Anahtarlı Hesaplar Hâlâ Maruz Kalabilir
İstismar, şifre kimlik doğrulamasının etkin olduğu ve PAM, bir kimlik doğrulama çerçevesinin devre dışı bırakıldığı ulaşılabilir bir SSH sunucusu gerektirir. Alpine’in standart openssh-server paketi PAM olmadan derlenmiştir. PAM etkin alternatifi, UsePAM yes ile yapılandırıldığında etkilenmez.
Makine ayrıca, depolanan şifre alanı bir yıldız (*) olan bir giriş yapılabilir hesaba sahip olmalı ve ayrıca en az bir tane SHA-256 veya SHA-512 şifre karma değerine sahip başka bir hesap olmalıdır. Bu kombinasyon, yalnızca anahtar erişimi için tasarlanmış hesapları ortaya çıkarabilir: aşırı büyük bir şifre, musl’un karma işlevini bir hata işareti olarak yıldız döndürmeye zorlar, bu da hesabın depolanan alanıyla eşleşir.
Alpine kullanan kripto node, doğrulayıcı ve borsa operatörleri için ilgili kontrol, bir uygulamanın Alpine tabanlı bir konteyner kullanıp kullanmadığı değil, ana sistemin SSH hizmeti ve kimlik doğrulama ayarlarıdır. Alpine, sshd çalıştırmayan konteynerlerin etkilenmediğini belirtmektedir.
Alpine, 3.18.11 ile 3.24.3 arasındaki düzeltilmemiş tiny-cloud görüntülerinin ilk başlatmada güvenli olduğunu ancak bir SHA-512 şifre karma eklenirse (örneğin bir konsol şifresi ayarlanarak) istismar edilebilir hale geldiğini uyarıyor. Bir saldırgan, ardından alpine kullanıcısı olarak giriş yaparak, şifresiz yönetimsel erişim aracılığıyla kök yetkilerini ele geçirebilir.
Şifre kimlik doğrulamasını devre dışı bırakmadan önce, Alpine, SSH anahtarlı girişin çalıştığından emin olmanızı ve yeni bir giriş denemesi sırasında mevcut oturumu açık tutmanızı önerir.
Maruz bırakılan makineler için danışmanlık, şifresiz hesaplara kabul edilen şifre girişi günlüklerini, yönetici faaliyetlerini ve yeni oluşturulan kullanıcıları, dosyaları ve yetkilendirilmiş anahtarları incelemeyi önerir. Bir girişin dışlanamadığı durumlarda Alpine, makinenin işgal edildiğini varsaymayı önerir.