Sicherheitsforscher warnen vor aktiven Angriffen auf eine kritische Schwachstelle im Secure-Shell-Dienst OpenSSH, die Angreifern auf bestimmten Linux-Systemen das Umgehen der Passwortauthentifizierung ermöglicht.
Aktive Angriffe auf Linux-Server
Die Sicherheitsfirmen watchTowr und Previdian meldeten am Freitag Beobachtungen von aktiven Ausnutzungsversuchen, die mit Botnets und Kryptowährungen in Verbindung stehen. Previdian registrierte 20 Angriffsversuche von 13 verschiedenen IP-Adressen aus neun Ländern, wie Ars Technica berichtete.
Auch Dienste wie GreyNoise, Defused sowie Sensor-Netzwerke von Previdian verzeichneten entsprechende Vorfälle. Der Binance-Gründer Changpeng Zhao wandte sich am 6. November auf der Plattform X an die Öffentlichkeit, um vor der Sicherheitslücke zu warnen.
Die als CVE-2026-123158 erfasste Sicherheitslücke, die vom Entdecker unter dem Namen sshhole geführt wird, besitzt laut MITRE einen CVSS-Wert von 8.1. Sie betrifft OpenSSH-Server, die gegen die C-Bibliothek musl libc linken und ohne das Authentifizierungsmodul PAM arbeiten. Angreifer benötigen lediglich Netzwerkzugriff auf den SSH-Port und ein Konto mit einem Asterisk im Passwortfeld, um ohne gültiges Passwort einzudringen.
Technische Hintergründe und Ursachen
Das Problem entsteht durch die Art und Weise, wie musl libc bei Passwortabfragen reagiert. Wenn ein eingegebenes Passwort mehr als 256 Zeichen lang ist, gibt die musl-Funktion crypt() den Wert eines Sternchens als Fehlerindikator zurück, so BleepingComputer. Laut dem von Özgün Kültekin veröffentlichten technischen Bericht trat das Verhalten im Zuge von Änderungen zwischen 2012 und 2016 zutage.
OpenSSH vergleicht diesen Rückgabewert mit dem in der Datei /etc/shadow hinterlegten Asterisk von passwortlosen Konten. Dadurch akzeptiert der Server die Eingabe als korrekte Authentifizierung.
Der Forscher Özgün Kültekin von Wakefield entdeckte die Schwachstelle im Zuge von rund 17.600 Testlogins unter Einsatz von KI-Agenten. Nach Angaben von OpenSSH-Entwickler Damien Miller betrifft der Fehler ausschließlich Linux-Systeme mit musl libc und deaktiviertem PAM; Umgebungen mit glibc oder aktivierten Pluggable Authentication Modules sind nicht gefährdet.
OpenSSH weist darauf hin, dass die Ursache außerhalb des SSH-Servers liege, während der musl-Entwickler Rich Felker die Ansicht vertritt, es handele sich um eine fehlerhafte Verwendung der crypt()-Funktion durch den Aufrufer.
Notfallpatches und Korrekturen
Das OpenSSH-Projekt veröffentlichte am 5. Die Entwickler beschreiben das Update als kritischen Sicherheits-Workaround, der Linux-Systeme betrifft, die musl libc verwenden und bei denen PAM deaktiviert ist, wie Rescana unter Berufung auf das OpenSSH-Projekt berichtete. Alpine Linux hat als Reaktion auf das Problem für sämtliche stabilen Versionszweige ab Release 3.16 sowie für die älteren Versionen 3.16 bis 3.20 korrigierte Paketversionen bereitgestellt.
Die bereitgestellten Versionen für Alpine umfassen unter anderem edge mit der Version 10.6_p2-r0, Branch 3.24 mit 10.3_p1-r2, Branch 3.23 mit 10.2_p1-r1, Branch 3.22 mit 10.0_p1-r11, Branch 3.21 mit 9.9_p2-r1, Branch 3.20 mit 9.7_p1-r6, Branch 3.19 mit 9.6_p1-r3, Branch 3.18 mit 9.3_p2-r4, Branch 3.17 mit 9.1_p1-r7 sowie Branch 3.16 mit der Version 9.0_p1-r6.
Zudem beinhalten die am Donnerstag veröffentlichten Point-Releases 3.21.10, 3.22.8, 3.23.8 und 3.24.4 die aktualisierten Pakete. Administratoren müssen nach dem Software-Update zwingend den SSH-Dienst neu starten, da ein reines Aktualisieren des Pakets den laufenden sshd-Prozess nicht automatisch neu startet.
Ein Angreifer, der Ihren SSH-Port erreichen kann, kann sich anmelden, ohne ein Passwort zu kennen. Es ist nur eine Verbindung erforderlich, es funktioniert jedes Mal und erfordert keine Wiederholungen.
Damien Miller, OpenSSH-Projekt
Von Seiten der Betroffenen wird zudem geraten, bei Instanzen, die aus älteren Cloud-Images gestartet wurden, die Aktualisierung vorzunehmen oder das Passwort-Login abzuschalten.
Konfigurationen und Schutzmaßnahmen
Neben Alpine Linux betrifft die Schwachstelle potenziell auch weitere Systeme, die musl ohne PAM einsetzen, darunter OpenWrt, Buildroot, Yocto und Void Linux. Für offizielle Alpine-Cloud-Images, insbesondere die Varianten tiny-cloud in den Versionen 3.18.11 bis 3.24.3, besteht ein zusätzliches Risiko, da in diesen Umgebungen ein Benutzer namens alpine vorkommt, der ohne Passworteingabe administrative Befehle via doas ausführen kann, sobald ein beliebiges anderes Konto auf der Maschine ein Passwort erhält.
Als temporäre Abwehrmaßnahme, falls ein sofortiges Einspielen des Patches nicht möglich ist, empfiehlt sich die vollständige Deaktivierung der Passwortauthentifizierung in der Konfiguration durch den Parameter PasswordAuthentication no
.
Weiterlesen
