Уязвимость *sshole в Linux: хакеры активно атакуют серверы через OpenSSH
Как сообщают несколько исследователей, хакеры активно эксплуатируют недавно обнаруженную критическую уязвимость под названием *sshole, которая позволяет войти в привилегированные аккаунты на многих системах Linux. Проблема стала публично известна в прошлый четверг.
Уязвимость, отслеживаемая как CVE-2026-123158, возникает из-за взаимодействия между OpenSSH и библиотекой кода musl. Системы Linux, использующие оба эти пакета и отвечающие определенным другим требованиям, могут подвергнуться взлому, предоставляющему неаутентифицированный доступ к высокопривилегированным аккаунтам за считанные секунды.
Компания по безопасности Greynoise заявила в понедельник, что поддерживаемые ею ханепот-системы в Юго-Восточной Азии подверглись атаке группы GT10. По данным фирмы, группа провела «зрелые вторжения». Впоследствии Greynoise получила доступ к серверу GT10, где обнаружила потенциальных других жертв и инструменты кампании, включая бэкдор TAC Agent с комментариями на китайском языке, который, судя по всему, сгенерирован с помощью ИИ. Greynoise отметила, что GT10 также устанавливает Python3 на машины без него.
Исследователи из охранной фирмы watchTowr заявили в пятницу, что они также фиксируют активность эксплуатации, связанную с ботнетами и криптовалютой. Фирма Previdian сообщила о подобных действиях, зафиксировав своими сенсорами 20 попыток эксплуатации с 13 уникальных IP-адресов в девяти странах.
Для срабатывания уязвимости необходимо соблюдение ряда условий: OpenSSH должен работать вместе с musl, не использовать PAM, а конфигурации SSH должны иметь хотя бы один аккаунт с паролем, хешированным через SHA256 или SHA512, а также использовать безпарольные аккаунты со знаком «*» в поле пароля файла /etc/shadow. Эксплойты запускаются при вводе паролей длиной более 256 символов для безпарольного аккаунта.
OpenSSH выпустил исправление, предотвращающее работу атак. Всем использующим OpenSSH рекомендуется незамедлительно установить обновление, а использующим musl — провести дополнительное расследование.
Первоисточник: https://arstechnica.com/security/20...o-linux-devices-is-under-active-exploitation/