sshole o sshhole
by on
Il sito sshhole.com descrive una vulnerabilità sshole (o sshhole) di sicurezza in OpenSSH su sistemi Linux che utilizzano musl, in particolare Alpine Linux, OpenWrt e alcune immagini Docker.
In sintesi:
- Alcuni account configurati per non accettare mai password (ad esempio
rooto utenti che dovrebbero autenticarsi esclusivamente tramite chiave SSH) possono in realtà accettare password arbitrariamente lunghe. - Il problema nasce da un’interazione errata tra OpenSSH e la libreria musl nella gestione delle password superiori a 256 caratteri.
- In determinate configurazioni, un account che dovrebbe essere bloccato può quindi consentire l’accesso tramite password, anche con potenziali privilegi di root.
Sono a rischio i sistemi che utilizzano musl, OpenSSH senza PAM, autenticazione SSH tramite password attiva e account con password bloccata tramite *.
Per risolvere il problema è importante installare sulla propria distribuzione la OpenSSH 10.6p2 (o successive) come versione correttiva. In alternativa, se non è possibile è bene disabilitare temporaneamente l’autenticazione SSH tramite password.
In sostanza, sshole è una vulnerabilità piuttosto seria perché può trasformare un account che dovrebbe essere inaccessibile tramite password in un account accessibile a chi conosce il problema.
Distribuzioni come Debian o Red Hat Enterprise Linux non sono vulnerabili alla falla specifica descritta da SSHHole.
Il motivo è che Debian e Red Hat Enterprise Linux usano normalmente glibc, mentre la vulnerabilità riguarda sistemi Linux che utilizzano musl libc senza PAM (come Alpine Linux).
Per verificare se la propria distribuzione usa musl libc si può usare un comando come:
ldd –version
sshd -T | grep usepam
Se viene restituito GNU libc e usepam yes, significa che la falla SSHHole non è presente sul sistema.
Riferimento: https://sshhole.com/
Lascia un commento