OpenSSH: ocolirea autentificării pe sisteme musl fără PAM

Pe 5 noiembrie 2026, proiectul OpenSSH a publicat versiunea 10.6p2, împreună cu un buletin de securitate despre o vulnerabilitate care permite ocolirea autentificării unui serviciu SSH. În aceeași zi, CERT-FR (ANSSI) a difuzat două documente: avizul CERTFR-2026-AVI-1468 și buletinul de alertă CERTFR-2026-ALE-015. Ambele indică drept afectate versiunile OpenSSH anterioare versiunii 10.6p2 și clasifică riscul drept ocolire a politicii de securitate.

Ambele surse ale acestui articol provin de la CERT-FR. Avizul conține doar versiunile afectate și remedierea; condițiile de exploatare, indicatorii și măsura de atenuare provin numai din buletinul de alertă. Niciunul dintre documente nu dă un identificator CVE și nu spune dacă vulnerabilitatea este deja exploatată.

Condițiile de exploatare

Potrivit buletinului de alertă CERT-FR, vulnerabilitatea afectează sistemele Linux care îndeplinesc simultan aceste condiții:

• folosesc biblioteca C standard musl;
• OpenSSH este compilat fără suport PAM sau PAM este dezactivat.

În această configurație, un atacator se poate conecta furnizând două parole, a doua având o lungime strict mai mare de 256 de caractere și mai mică de 1.024. CERT-FR scrie că, atunci când condițiile sunt îndeplinite, exploatarea este banală și recomandă verificarea dacă propriile sisteme se află într-o configurație vulnerabilă.

Buletinul nu descrie defectul din cod și nu indică alte configurații afectate. Pentru detalii trimite la buletinul OpenSSH al versiunii 10.6p2 și la pagina cercetătorului care a descoperit vulnerabilitatea, numită „sshhole”.

Indicatori de compromitere

Cercetătorul, relatează CERT-FR, recomandă verificarea legitimității autentificărilor pentru fiecare cont de sistem care în /etc/shadow are un asterisc în locul parolei (:*:, parolă dezactivată). Buletinul propune această comandă, care se rulează ca root:

awk -F : '$2 == "*" {print $1}' /etc/shadow | xargs -r -I{} grep "Accepted password for {}" /var/log/messages

Comanda listează conturile cu parola dezactivată și caută în jurnalul /var/log/messages autentificările reușite cu parolă pe numele lor. Fiecare rezultat trebuie verificat: este o autentificare cu parolă acceptată pe un cont a cărui parolă este dezactivată. Dacă pe sistemele tale mesajele sshd ajung în alt jurnal, adaptează calea din comandă.

Impactul pentru companiile europene și italiene

OpenSSH este instrumentul standard pentru administrarea de la distanță a sistemelor Linux, iar serviciul SSH este adesea accesibil din Internet. Totuși, vulnerabilitatea nu afectează orice instalare: potrivit CERT-FR, sunt necesare simultan biblioteca musl și absența sau dezactivarea PAM. Primul pas este așadar inventarul: ce sisteme au OpenSSH anterior versiunii 10.6p2, care folosesc musl, cum este configurat PAM și dacă autentificarea cu parolă este acceptată.

Un serviciu SSH a cărui autentificare poate fi ocolită înseamnă acces direct la sistem: trebuie tratat cu prioritate, începând cu serverele accesibile din exterior. Pentru entitățile NIS2, cazul ține de gestionarea vulnerabilităților și de controlul accesului administrativ cerute de măsurile de securitate; merită documentate inventarul, verificările jurnalelor și deciziile luate pentru fiecare sistem.

Ce să faci imediat

1. Actualizează OpenSSH la versiunea 10.6p2 sau la pachetul distribuției tale care include corecția, urmând buletinul OpenSSH, așa cum indică CERT-FR.
2. Verifică configurația sistemelor pe care nu le poți actualiza imediat: biblioteca C folosită (musl sau alta), OpenSSH compilat cu sau fără PAM și valoarea efectivă a directivei UsePAM, pe care o poți citi cu sshd -T.
3. Dacă nu poți actualiza, CERT-FR recomandă dezactivarea autentificării cu parolă (în sshd_config, PasswordAuthentication no, apoi reîncarcă serviciul) sau, în lipsa acesteia, dezactivarea serviciului SSH. Înainte de a elimina parolele, asigură-te că administratorii se pot autentifica cu chei, ca să nu rămâi blocat pe dinafară.
4. Caută urme cu comanda din buletin și verifică, în general, autentificările reușite cu parolă de la adrese sau la ore neobișnuite, mai ales pe conturile de sistem.

Cum ajută ARXDOME

ARX Sentry colectează de pe serverele Linux inventarul software și jurnalele de autentificare: ajută la găsirea mașinilor cu OpenSSH și la vizualizarea versiunii acestuia, iar paginile de identități arată autentificările reușite, cele privilegiate și cele de noapte. ARX Expose și ARX Scout arată ce adrese publice ale companiei expun un serviciu SSH, adică de unde să începi actualizările și verificările.

Ultima actualizare: 5 noiembrie 2026