Įsilaužėliai aktyviai išnaudoja neseniai aptiktą kritinį pažeidžiamumą, leidžiantį prisijungti prie privilegijuotų paskyrų daugelyje Linux sistemų, pranešė keli tyrėjai.
Pažeidžiamumas, pavadintas *sshole, atsiranda dėl OpenSSH ir kodo bibliotekos musl sąveikos. Linux sistemas, kuriose naudojami abu šie paketai ir kurios atitinka tam tikrus kitus reikalavimus, galima nulaužti per kelias sekundes ir be autentifikavimo gauti prieigą prie aukšto lygio privilegijų paskyrų. Apie *sshole viešai paskelbta praėjusį ketvirtadienį ir greitai kilo nerimas, kad jis gali lemti plataus masto Linux kompiuterių kompromitavimą. Po keturių dienų šis scenarijus ima pasitvirtinti.
Užpuolikai vykdo „brandžius įsilaužimus“
Saugumo bendrovė Greynoise pirmadienį pranešė, kad jos Pietryčių Azijoje prižiūrimus „honeypot“ gaudykles užpuolė grupė, kurią bendrovė seka pavadinimu GT10. Grupė į sistemas, kurias Greynoise naudoja bandomoms ar sėkmingoms atakoms aptikti realiuoju laiku, įsiveržė „brandžiais įsilaužimais“. Vėliau Greynoise gavo prieigą prie GT10 serverio, kuriame atsiskleidė galimos kitos aukos ir dalis kampanijoje naudotų įrankių. Grupės atakose naudojamame užpakaliniame įėjime (backdoor) yra komentarų kinų kalba, o pats jis, panašu, sukurtas pasitelkus dirbtinį intelektą.
Paaiškinimas: „Honeypot“ (angl. medaus puodas) yra tyčia paliekama pažeidžiama sistema arba jauka, skirta pritraukti užpuolikus, kad būtų galima stebėti jų veiksmus ir metodus.
Greynoise teigimu, GT10 taip pat įdiegia Python3 leidimą tuose įrenginiuose, kuriuose jo dar nėra, nes šis paketas reikalingas įsilaužėlių užpakaliniam įėjimui, vadinamam TAC Agent, paleisti. TAC Agent palaiko daugybę funkcijų, įskaitant apvalkalo (shell) komandas, sistemos žvalgybą ir įsitvirtinimą sistemoje (persistence). OpenSSH išleido pataisą, kuri neleidžia atakoms pavykti.
Saugumo bendrovės watchTowr tyrėjai penktadienį pranešė, kad ir jie fiksuoja išnaudojimo veiklą, susijusią su botnetais ir kriptovaliutomis. Saugumo bendrovė Previdian taip pat paskelbė panašių duomenų. Pasak jos, bendrovės jutikliai užfiksavo 20 išnaudojimo bandymų iš 13 unikalių užpuolikų IP adresų, geografiškai priskirtų devynioms šalims.
Pažeidžiamumas, sekamas kaip CVE-2026-123158, slypi OpenSSH, kai ji veikia kartu su musl – Linux alternatyva plačiai naudojamai libc kodo bibliotekai. Be to, OpenSSH neturi naudoti PAM (pluggable authentication modules, prijungiamųjų autentifikavimo modulių) – sistemos, tvarkančios vartotojų autentifikavimą ir paskyros prieigos patikras. Taip pat SSH konfigūracijose turi (1) būti bent viena paskyra, prie kurios galima prisijungti slaptažodžiu, užhaširuotu SHA256 arba SHA512 funkcija, ir (2) turi būti nustatyta naudoti paskyras be slaptažodžio, faile /etc/shadow slaptažodžio lauke nurodant „*“. Konfigūracijos be slaptažodžio yra įprastos tam tikrų tipų paskyroms.
Paaiškinimas: musl yra kompaktiška standartinė C bibliotekos realizacija, kurią naudoja kai kurios lengvos Linux distribucijos vietoje labiau paplitusios bibliotekos. Būtent ši biblioteka tvarko daugelį pagrindinių programų naudojamų funkcijų, pavyzdžiui, slaptažodžių haširavimą.
Išnaudojimas suveikia, kai užpuolikas paskyrai be slaptažodžio įveda ilgesnį nei 256 simbolių slaptažodį. Šis žingsnis įvyksta, kai OpenSSH serveris užhaširuoja pateiktą slaptažodį ir palygina jį su hašu, saugomu faile /etc/shadow. Per ilgas slaptažodis sukelia klaidą, dėl kurios musl slaptažodžių haširavimo funkcija grąžina „*“. Atakos išnaudoja tai, kad „neteisingai interpretuojama, ar eilutė turėtų būti slaptažodžio hašas“, teigė Redhat.
Nepaisant daugelio būtinų sąlygų, CVE-2026-123158 kelia rimtą grėsmę daugybei įrenginių, visų pirma tiems, kuriuose veikia Alpine – lengva Linux distribucija. Dėl išnaudojimo paprastumo įsilaužėliai gali siųsti kenkėjiškas komandas bet kuriam iš milijonų internetui atvirų SSH serverių ir per kelias sekundes nustatyti potencialiai pažeidžiamus. Visi, naudojantys OpenSSH, turėtų nedelsdami įdiegti atnaujinimą. Tie, kas naudoja musl, turėtų išsiaiškinti plačiau.
