Các kẻ tấn công đang khai thác lỗ hổng bỏ qua mật khẩu SSH ảnh hưởng đến một số hệ thống Alpine Linux, với GreyNoise báo cáo đã khai thác thành công và các công ty bảo mật khác phát hiện hoạt động tấn công.
GreyNoise cho biết vào ngày 6 tháng 11 rằng họ đang theo dõi “các nỗ lực quét, khai thác và khai thác thành công” lỗ hổng được gọi là SSHole và được theo dõi dưới mã CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Đồng thời, Previdian báo cáo 20 nỗ lực khai thác từ 13 địa chỉ IP khác nhau trên bốn cảm biến, với hoạt động diễn ra từ ngày 6 đến 8 tháng Mười Một. Công ty cảnh báo rằng các quan sát từ cảm biến của họ không xác định được liệu các mục tiêu có dễ bị tổn thương hay không hoặc liệu các nỗ lực này có thành công hay không.
watchTowr cũng báo cáo vụ khai thác vào ngày 6 tháng 11, cho biết hoạt động này liên quan đến “botnet và máy khai thác tiền điện tử.”
Các cuộc tấn công xảy ra sau việc phát hành OpenSSH 10.6p2 vào ngày 5 tháng 11, vốn giới thiệu một giải pháp thay thế cho các hệ thống Linux sử dụng thư viện mã musl với xác thực PAM bị vô hiệu hóa. The Defiant đã đề cập đến lỗ hổng này khi bản vá được phát hành.
Khuyến nghị của Alpine hướng dẫn người vận hành cài đặt gói OpenSSH đã được vá cho nhánh Alpine của họ và khởi động lại máy chủ SSH, sshd. Việc cập nhật gói riêng lẻ sẽ không thay đổi quy trình máy chủ đang chạy. Những người vận hành không thể vá nên thiết lập PasswordAuthentication no và khởi động lại dịch vụ thay vào đó.
Tài khoản chỉ có khóa vẫn có thể bị phơi bày
Việc khai thác yêu cầu một máy chủ SSH có thể truy cập với xác thực mật khẩu được bật và PAM, một khung xác thực, bị vô hiệu hóa. Gói openssh-server tiêu chuẩn của Alpine được xây dựng mà không có PAM. Phiên bản có hỗ trợ PAM của nó sẽ không bị ảnh hưởng khi được cấu hình với UsePAM yes.
Máy cũng phải có tài khoản có thể đăng nhập, trong đó trường mật khẩu được lưu là dấu sao, cộng thêm ít nhất một tài khoản khác có băm mật khẩu SHA-256 hoặc SHA-512. Sự kết hợp này có thể phơi bày các tài khoản được thiết kế chỉ để truy cập bằng khóa: mật khẩu quá dài khiến hàm băm của musl trả về dấu sao như một dấu hiệu lỗi, sau đó khớp với trường được lưu trong tài khoản.
Đối với các nhà vận hành nút mạng, người xác thực và sàn giao dịch tiền điện tử đang chạy Alpine, kiểm tra liên quan là dịch vụ SSH và cài đặt xác thực của máy chủ—không chỉ đơn thuần là việc ứng dụng có sử dụng container dựa trên Alpine hay không. Alpine cho biết các container không chạy sshd sẽ không bị ảnh hưởng.
Alpine cũng cảnh báo rằng các hình ảnh tiny-cloud chưa được vá từ 3.18.11 đến 3.24.3 an toàn khi khởi động lần đầu, nhưng trở nên dễ bị khai thác nếu thêm một hash mật khẩu SHA-512, chẳng hạn bằng cách đặt mật khẩu console. Kẻ tấn công sau đó có thể đăng nhập với tư cách người dùng alpine và giành quyền root thông qua quyền truy cập quản trị không cần mật khẩu của nó.
Trước khi vô hiệu hóa xác thực bằng mật khẩu, Alpine khuyên bạn nên kiểm tra xem đăng nhập bằng khóa SSH đã hoạt động chưa và giữ phiên làm việc hiện tại mở trong khi thử đăng nhập mới.
Đối với các máy bị phơi bày, lời khuyên khuyến nghị xem xét nhật ký để tìm các lần đăng nhập bằng mật khẩu được chấp nhận vào các tài khoản không có mật khẩu, cùng với các hoạt động quản trị và người dùng, tệp tin và khóa được ủy quyền mới được tạo. Nếu không thể loại trừ khả năng đăng nhập, Alpine khuyên nên coi máy đó đã bị xâm phạm.