Зловмисники експлуатують вразливість обходу пароля SSH, яка впливає на деякі системи Alpine Linux, при цьому GreyNoise повідомляє про успішну експлуатацію, а інші компанії з безпеки виявляють активність атак.
GreyNoise повідомив 6 листопада, що спостерігає за «скануванням, спробами експлуатації та успішною експлуатацією» вразливості, відомої як SSHole і зареєстрованої як CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Окремо, Previdian повідомляє про 20 спроб експлуатації з 13 різних IP-адрес через чотири сенсори, активність яких відбулася 6–8 листопада. Компанія попереджає, що спостереження її сенсорів не підтверджують, чи були цілі вразливими чи чи спроби вдалі.
watchTowr також повідомив про експлуатацію 6 листопада, сказавши, що діяльність містила «ботнети та криптомайни».
Атаки відбулися після випуску OpenSSH 10.6p2 5 листопада, який ввів обхідний шлях для систем Linux, що використовують бібліотеку коду musl із вимкненою аутентифікацією PAM. The Defiant охопив цю вразливість під час випуску виправлення.
Рекомендації Alpine повідомляють операторам встановити виправлену версію пакету OpenSSH для своєї гілки Alpine та перезапустити сервер SSH, sshd. Оновлення пакету окремо не змінює робочий процес сервера. Операторам, які не можуть застосувати виправлення, слід встановити PasswordAuthentication no та перезапустити службу.
Акаунти тільки з ключем все ще можуть бути підвержені ризику
Експлуатація вимагає доступного SSH-сервера з увімкненою аутентифікацією за паролем та вимкненим PAM — фреймворком аутентифікації. Стандартний пакет openssh-server в Alpine збирається без PAM. Його альтернатива з підтримкою PAM не постраждає, якщо налаштована з UsePAM yes.
Машина також повинна мати акаунт, який можна використовувати для входу, поле збереженого пароля якого є зірочкою, плюс щонайменше один інший акаунт із хешем пароля SHA-256 або SHA-512. Така комбінація може виявити акаунти, призначені лише для доступу за ключем: надмірно довгий пароль робить функцію хешування musl повернути зірочку як маркер помилки, що потім збігається зі збереженим полем акаунта.
Для операторів крипто-нод, валідаторів та бірж, які використовують Alpine, відповідним перевірним пунктом є служба SSH та налаштування автентифікації хоста — а не просто чи застосунок використовує контейнер на основі Alpine. Alpine стверджує, що контейнери, які не запускають sshd, не піддаються впливу.
Alpine також попереджає, що його незапatchenі образи tiny-cloud з 3.18.11 по 3.24.3 безпечні при першому завантаженні, але стають вразливими, якщо додати хеш пароля SHA-512, наприклад, встановивши пароль консолі. Зловмисник може потім увійти як користувач alpine і отримати права root через його доступ без пароля.
Перед вимкненням автентифікації за паролем Alpine рекомендує перевірити, чи працює вхід за SSH-ключем, і зберігати поточний сеанс відкритим під час тестування нового входу.
Щодо відкритих машин, рекомендація пропонує перевірити журнали для прийнятих входів за паролем до акаунтів, які не мають пароля, а також адміністративну діяльність, новостворених користувачів, файли та авторизовані ключі. Якщо вхід не можна виключити, Alpine радить вважати машину скомпрометованою.