OpenSSH napaka *sshole* v musl‑Linux sistemih – kaj morate vedeti

Pri Vuma TECH vas obveščamo o novem varnostnem problemu, ki je bil razkrit 5. novembra 2026. Raziskovalec Ozgun Kultekin je odkril napako sshole v OpenSSH, ki omogoča vdor v račune brez gesla na musl‑temeljnih Linux sistemih.

Kaj je napaka sshole

Napaka izkorišča način, kako OpenSSH obravnava neuspešne poskuse hashiranja gesel v knjižnici musl. Ko uporabnik pošlje geslo, ki presega 256 bajtov, funkcija crypt() vrne znak . OpenSSH primerja ta rezultat s shranjenim v /etc/shadow in dovoli prijavo. To velja le za račune, ki so bili nastavljeni z * kot geslom, da bi onemogočili geselno avtentikacijo.

Kdo je ogrožen?

Napaka prizadene strežnike, ki uporabljajo OpenSSH na distribucijah z musl C knjižnico: Alpine Linux, OpenWrt, Buildroot, Yocto. Potrebni so dodatni pogoji: PAM je onemogočen, SSH geselna avtentikacija je omogočena, ter obstaja vsaj en račun z * v /etc/shadow in drug z veljavnim geslom. Sistemi z glibc (Debian, Ubuntu, Fedora) ter tisti z PAM niso prizadeti.

Kako se zaščititi?

1. Posodobite OpenSSH na različico 10.6p2 ali novejšo z ukazom apk upgrade openssh.
2. Onemogočite geselno avtentikacijo, če je ne potrebujete: v /etc/ssh/sshd_config nastavite PasswordAuthentication no in ponovno zaženite SSH.
3. Preverite dnevnike za nepričakovane prijave: grep "Accepted password" /var/log/messages ter preverite polje gesla v /etc/shadow.
4. Odstranite ali spremenite račune z * v polju gesla, ki ne potrebujejo geselne prijave.
5. Prijavite sumljive aktivnosti pri SI‑CERT, na spletni strani Varni na internetu (www.varninainternetu.si) ali policiji (klic 113).

Kaj to pomeni za vas

Če uporabljate usmerjevalnike, IoT naprave ali strežnike, ki temeljijo na Alpine Linux ali OpenWrt, takoj preverite, ali je OpenSSH posodobljen. Na telefonih in tablicah, ki se povezujejo na takšne naprave, onemogočite shranjevanje gesel v SSH odjemalcih, dokler ne potrdite varnosti strežnika. Redno izvajajte varnostne posodobitve in spremljajte obvestila Vuma TECH ter nacionalnih varnostnih organov. S tem zmanjšate tveganje nepooblaščenega dostopa do vaših omrežij.

povzeto po: bleepingcomputer