Уязвимость *sshole позволяет взламывать Linux-системы через SSH
Критическая уязвимость CVE-2026-123158 уже используется в атаках. Она затрагивает некоторые конфигурации OpenSSH с библиотекой musl и может открыть неаутентифицированный доступ к привилегированным учетным записям
Один основной источник · Как мы проверяем новости
Что произошло
Несколько исследовательских команд сообщили об активной эксплуатации критической уязвимости *sshole. Она позволяет атакующим входить в привилегированные учетные записи на некоторых Linux-системах без аутентификации.
Greynoise обнаружила атаки на свои ловушки в Юго-Восточной Азии и связала их с группой GT10. Компания получила доступ к серверу группы, где обнаружила сведения о возможных жертвах и инструментах кампании.
Как работает уязвимость
Уязвимость затрагивает OpenSSH, работающую вместе с musl — альтернативой широко используемой библиотеке libc. Для эксплуатации также требуется, чтобы OpenSSH не использовала PAM, а конфигурация SSH включала учетную запись с паролем, хешированным по SHA256 или SHA512, и учетные записи без пароля с символом «*» в поле пароля файла /etc/shadow.
Атака запускается, когда для учетной записи без пароля вводится пароль длиной более 256 символов. Ошибка при обработке такого значения заставляет функцию хеширования паролей в musl вернуть «*», из-за чего происходит неправильная интерпретация строки как хеша пароля.
Инструменты атакующих
GT10 устанавливает Python3 на машинах, где его нет, поскольку он необходим для запуска бэкдора TAC Agent. Инструмент поддерживает выполнение команд оболочки, разведку системы и закрепление в ней.
В бэкдоре обнаружены комментарии на китайском языке; по оценке Greynoise, он, вероятно, создавался с использованием AI. watchTowr также сообщила об активности, связанной с ботнетами и криптовалютой.
Почему это важно
Хотя для атаки требуется сочетание нескольких условий, уязвимость представляет серьезную угрозу для большого числа машин, особенно для систем на базе легковесного дистрибутива Alpine. Атакующие могут быстро проверять доступные в интернете SSH-серверы и выявлять потенциально уязвимые устройства.
Пользователям OpenSSH рекомендуется как можно скорее установить обновление. Владельцам систем с musl необходимо дополнительно проверить конфигурацию.
Источники
Один основной источник. Как мы проверяем новости
