Hackers hebben volgens beveiligingsonderzoekers een kritieke kwetsbaarheid in OpenSSH uitgebuit. Daardoor kunnen ze inloggen op bepaalde wachtwoordloze accounts. Er is al een patch beschikbaar voor de kwetsbaarheid.
Door de ‘SSHole’-kwetsbaarheid, die officieel heet en een score van 8,1 heeft, kunnen hackers inloggen op accounts waarvoor geen wachtwoord is ingesteld. Het gaat daarbij om accounts die alleen toegankelijk horen te zijn met een SSH-sleutel en die op systemen met de musl-bibliotheek staan, zoals Alpine Linux-servers.
Als aanvallers een extreem lang wachtwoord invullen, ziet het systeem dat soms als een succesvolle inlogpoging. Een wachtwoord van meer dan 256 tekens levert namelijk een asterisk (*) als waarde op. In accounts zonder wachtwoord staat er ook een asterisk in het wachtwoordveld.
Deze aanval is alleen mogelijk bij OpenSSH-installaties die geen gebruikmaken van Pluggable Authentication Modules. Daarnaast moet het systeem behalve het wachtwoordloze account een account hebben dat juist wél een wachtwoord gebruikt.
Cybersecuritybedrijf Previdian de kwetsbaarheid negen uur na de bekendmaking ervan al succesvol is uitgebuit. Ook watchTowr dat deze actief wordt misbruikt voor botnets en cryptominers.
OpenSSH bracht donderdag in al een patch voor de kwetsbaarheid uit. Alpine raadt klanten aan om hun OpenSSH-package bij te werken.