OpenSSH 10.6p2, Alpine'deki parola atlatma açığını kapattı, istismar girişimleri başladı

OpenSSH geliştiricileri, 5 Kasım’da yayımladıkları 10.6p2 sürümüyle, musl libc kullanan ve PAM desteği kapalı olarak derlenip çalıştırılan bazı Linux sistemlerini etkileyen bir parola doğrulama atlatma açığına karşı önlem ekledi. Sürüm notuna göre sorunun kök nedeni sshd’nin dışında, ancak açık sshd üzerinden istismar edilebiliyor ve sshd’de engellenebiliyor. Açık aynı gün CVE-2026-123158 numarasını aldı. Sürüm notuna göre açığı Wakefield’dan Özgün Kültekin bildirdi.

Açığın işleyişi

CVE kaydına göre 10.6p2 öncesi OpenSSH sürümlerinde, musl libc PAM olmadan kullanıldığında bazı hesap yapılandırmalarında 256 ile 1024 karakter arasındaki herhangi bir parola girişi başarılı kılıyor. Açığı oss-security e-posta listesinde anlatan Jan Schaumann’a göre musl’ün parola özeti işlevi bu durumda “” değerini döndürüyor ve parola alanı “” olan bir hesaba 257 karakterden uzun bir parolayla girilebiliyor. The Hacker News’e göre sorun, 2016’daki CVE-2016-6210 kullanıcı adı tahmin açığı için yapılan düzeltmeden kaynaklanıyor.

Alpine Linux’un 5 Kasım’da yayımladığı güvenlik duyurusuna göre SSH bağlantı noktasına erişebilen bir saldırgan, parolayı bilmeden tek bir bağlantıyla giriş yapabiliyor ve saldırı her denemede çalışıyor. Duyuruya göre bunun için şu koşulların birlikte bulunması gerekiyor:

• Sistemde parola alanı “*” olan bir hesap ve $5$ ya da $6$ biçiminde parola özeti olan en az bir başka hesap bulunmalı.
• Saldırgan 257 ile 1024 bayt arasında bir parola göndermeli.
• Sunucuda PAM’siz openssh-server paketi ya da openssh-server-pam paketiyle birlikte UsePAM no ayarı kullanılmalı.
• Varsayılan olarak açık olan PasswordAuthentication yes ayarı etkin olmalı.

Alpine’e göre root hesabının parola alanı Alpine 3.16’dan beri “”. Varsayılan PermitRootLogin prohibit-password ayarı root hesabını koruyor, ancak doas ile root olabilen başka hesapları korumuyor. Duyuruya göre tiny-cloud ile hazırlanan bazı bulut görüntülerindeki alpine kullanıcısının parola alanı da “” ve bu kullanıcı parola sormadan doas kullanabiliyor. Sistemde bir $6$ özeti oluştuğunda bu hesap üzerinden önce kabuk, ardından root erişimi alınabiliyor.

CVE kaydındaki CVSS 3.1 puanı 8.1, yani yüksek önemde. Puanlamaya göre açık ağ üzerinden, giriş yapmadan ve kullanıcı etkileşimi olmadan kullanılabiliyor, ancak saldırının karmaşıklığı yüksek. CVE kaydını MITRE yayımladı.

İstismar girişimleri

The Hacker News’e göre güvenlik şirketi Previdian, CVE kaydı yayımlandıktan 9 saatten kısa süre sonra ilk istismar girişimini gördü ve Alpine ile OpenSSH çalıştıran bir tuzak sistemde (honeypot) root erişimi alındığını doğruladı. Previdian’ın açık sayfasına göre şirketin sensörleri 6 ve 7 Kasım’da 8 ülkedeki 11 farklı IP adresinden 17 istismar girişimi kaydetti. CISA’nın CVE kaydına eklediği değerlendirmede açık için kavram kanıtı (proof of concept) bulunduğu belirtiliyor. Açık 7 Kasım itibarıyla CISA’nın KEV listesinde yok.

Etkilenen ve etkilenmeyen sistemler

Alpine’e göre kontrol edilen bütün Alpine sürümleri, yani 3.21 ile 3.24 arası, edge ve desteği bitmiş 3.16 ile 3.20 arası sürümler etkileniyor. Alpine’e göre sshd çalıştırmayan konteynerler, PasswordAuthentication no ya da UsePAM yes kullanan sistemler, kilitli hesaplar, $ biçiminde parola özeti olan hesabı bulunmayan sistemler ve cloud-init ile yapılandırılan bulut görüntüleri etkilenmiyor. The Hacker News’e göre Dropbear, glibc kullanan dağıtımlar, Linux dışındaki sistemler ve parolaları PAM ile denetleyen sistemler de etkilenmiyor.

Alpine’e göre düzeltilmiş paketler Alpine 3.21.10, 3.22.8, 3.23.8 ve 3.24.4 sürümleriyle geliyor. 3.21’in desteği 1 Kasım’da bitmiş olsa da bu dal için de düzeltilmiş paket yayımlandı.

Önerilen önlemler

Alpine’in önerileri şöyle:

• Sistemi apk upgrade -U -a komutuyla güncelleyin, ardından sshd’yi rc-service sshd restart komutuyla yeniden başlatın. Paket güncellemesi çalışan sshd’yi kendiliğinden yeniden başlatmıyor.
• Hemen güncellenemiyorsa PasswordAuthentication no ayarıyla parolayla girişi kapatın.
• /var/log/messages dosyasında parolası olmayan bir hesap için “Accepted password for” satırlarını arayın. doas kullanımını, yeni kullanıcıları, yeni dosyaları ve authorized_keys dosyalarındaki değişiklikleri kontrol edin.
• Saldırganın giriş yapmadığı kesinleştirilemiyorsa makineyi ele geçirilmiş sayın.