פרצה ב-OpenSSH על Alpine Linux מאפשרת לתוקפים להתחבר בלי סיסמה
באג בשילוב של OpenSSH וספריית musl נותן לתוקף להיכנס בחיבור SSH אחד, בלי לדעת סיסמה. Alpine ו-OpenSSH כבר שחררו תיקון.
TL;DR בקצרה
- התוקף שולח סיסמה ארוכה מאוד ונכנס לחשבון שאין לו סיסמה בכלל
- בסיכון: Alpine ומערכות musl אחרות עם OpenSSH בלי PAM
- התיקון: OpenSSH 10.6p2 וגרסאות Alpine חדשות, ואז הפעלה מחדש של sshd
- פתרון ביניים: לכבות כניסה בסיסמה עם PasswordAuthentication no
פרצה חמורה ב-OpenSSH מאפשרת לתוקף להתחבר לשרתי Alpine Linux בלי לדעת שום סיסמה. צוות Alpine פרסם אזהרה ב-5 בנובמבר, ובאותו יום יצאה גרסה 10.6p2 של OpenSSH עם תיקון. החוקר שמצא את הבאג קרא לו *sshole.
איך עוקפים את הסיסמה ב-OpenSSH
הבעיה נוצרת רק בשילוב מסוים. מדובר במערכות Linux שמשתמשות בספריית musl, חלופה רזה לספריית C הסטנדרטית. בנוסף, OpenSSH צריך לרוץ בהן בלי PAM, המנגנון שמטפל בדרך כלל באימות משתמשים. זה בדיוק המצב בחבילת openssh-server של Alpine.
לפי הודעת Alpine, התוקף צריך שם של חשבון שבשדה הסיסמה שלו מופיעה כוכבית. כך מסמנים חשבון בלי סיסמה, למשל משתמש שמתחבר רק עם מפתח. בנוסף, צריך שיהיה במכונה לפחות חשבון אחד עם סיסמה רגילה, בגיבוב SHA-256 או SHA-512. אז התוקף שולח סיסמה באורך 257 עד 1024 תווים, ונכנס.
לדברי צוות Alpine, זה דורש חיבור אחד, עובד בכל פעם ולא צריך ניסיונות חוזרים. משתמש אחד עם סיסמה מספיק כדי לחשוף את כל החשבונות שאין להם סיסמה. עדיין אין לבאג מספר CVE, כלומר מזהה רשמי במאגר החולשות העולמי.
למה זה מסוכן, גם אם אתם לא מנהלים שרתים
Alpine פופולרית מאוד בעולם הקונטיינרים. לפי Ars Technica, לתמונת הבסיס שלה ב-Docker Hub יש מעל מיליארד הורדות. היא רצה גם בנתבים, בטלוויזיות חכמות ובבקרים תעשייתיים. בהרבה מהמכשירים האלה קשה מאוד להתקין עדכון, ולפעמים זה בלתי אפשרי.
החשבון root ב-Alpine מגיע כברירת מחדל עם כוכבית בשדה הסיסמה, כבר מגרסה 3.16 בערך. ההגדרה הרגילה של OpenSSH חוסמת כניסה של root בסיסמה, ולכן הוא מוגן ברוב המקרים. אבל אם התוקף נכנס לחשבון אחר עם הרשאות doas או sudo, הוא יכול להפוך ל-root משם.
חברת האבטחה הישראלית Check Point בדקה את הפרצה. לפי החברה, החשבון שאליו התוקף מנסה להיכנס חייב להיות פעיל. בנוסף, החשבון עם הסיסמה חשוב לתקיפה בגלל שערך ה-salt שלו משמש בתהליך.
מי אשם, OpenSSH או musl
יש כאן ויכוח פתוח. צוות OpenSSH כתב שלדעתו שורש הבעיה נמצא מחוץ ל-sshd, אבל שאפשר לחסום אותה שם, ולכן הוסיף מעקף. המפתח של musl, Rich Felker, טוען מנגד שזה שימוש שגוי בספרייה ולא באג בה. לדבריו, השינוי במנגנון הזה מתוכנן לגרסה קרובה של musl.
עוד לא ברור אילו מערכות נוספות פגיעות. מגלה הבאג טוען ש-OpenWRT בסכנה, אבל המערכת הזו משתמשת כברירת מחדל ב-Dropbear ולא ב-OpenSSH. גם הטענות לגבי buildroot ו-yocto עדיין לא אומתו. הבאג דווח על ידי Özgün Kültekin מחברת Wakefield.
צוות OpenSSH ציין עוד פרט מעניין. לאחרונה הוא מקבל הרבה דיווחי באגים שנמצאו בעזרת מודלי AI. לדבריו, כמה מהם התגלו שוב, בנפרד, על ידי חוקרים אחרים. לכן הוא יוציא עכשיו גרסאות בתדירות גבוהה, כדי שהתיקונים יגיעו מהר למשתמשים.
מה זה אומר עבורכם
- מריצים sshd על Alpine? עדכנו עם
apk upgrade -U -a. הגרסאות המתוקנות הן 3.21.10, 3.22.8, 3.23.8 ו-3.24.4. - אחרי העדכון הפעילו מחדש את השירות עם
rc-service sshd restart. השדרוג לבד לא מחליף את התהליך שכבר רץ. - לא יכולים לעדכן עכשיו? הגדירו
PasswordAuthentication noוהפעילו מחדש. לפני כן ודאו שהכניסה עם מפתח עובדת. - קונטיינרים של Alpine בלי sshd לא בסיכון. שרתים שהוקמו עם cloud-init גם בטוחים, כי הוא מכבה כניסה בסיסמה.
- יש לכם נתב או מכשיר חכם שמבוסס על Linux קל? בדקו אם היצרן פרסם עדכון, ואל תחשפו את פורט ה-SSH שלו לאינטרנט.
מה הלאה
הפרצה פשוטה לניצול, ולכן סביר שתוקפים יתחילו לסרוק את הרשת בחיפוש אחרי מערכות פגיעות. שווה לעקוב אחרי הודעות של יצרני ציוד רשת ומערכות משובצות בימים הקרובים. גם הפצות Linux אחרות שמבוססות על musl עשויות לפרסם תיקונים משלהן.
מקורות והרחבה
- Security advisory: openssh-server password authentication bypassAlpine Linux
- OpenSSH 10.6p2 release notesOpenSSH
- Meet *sshole, the vulnerability that lets hackers SSH into Linux devicesArs Technica
- A Critical SSH Password Bypass Hits musl-Based LinuxCheck Point
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
