Útočníci aktívne zneužívajú kritickú zraniteľnosť OpenSSH umožňujúcu prihlásenie bez hesla
Podľa spoločnosti Previdian sa útočníci pokúšajú zneužiť nedávno zverejnenú bezpečnostnú zraniteľnosť v OpenSSH, ktorá môže umožniť prihlásenie do používateľských účtov bez nastaveného hesla.
Zraniteľnosť označená ako CVE-2026-123158 (CVSS skóre: 8,1), známa pod názvom SSHole (alebo *sshole), postihuje linuxové systémy používajúce OpenSSH s knižnicou musl C a vypnutými modulmi Pluggable Authentication Modules (PAM). Patrí sem aj predvolená konfigurácia OpenSSH servera v distribúcii Alpine Linux.
Neautentifikovaný útočník môže zadaním nadmerne dlhého hesla získať prístup k účtom, ktoré sú zámerne nakonfigurované bez použiteľného hesla, a to bez potreby odcudzenia prihlasovacích údajov alebo SSH kľúčov.
Zraniteľnosť objavil bezpečnostný výskumník Ozgun Kultekin a bola opravená vo verzii OpenSSH 10.6p2.
Príčina problému siaha až do roku 2016, keď bola vydaná bezpečnostná oprava zraniteľnosti umožňujúcej zisťovanie existujúcich používateľských mien (username enumeration), označenej ako CVE-2016-6210.
Za určitých podmienok OpenSSH pri spracovaní hesla nesprávne vyhodnotí neúspešnú operáciu hashovania ako úspešnú autentifikáciu. Dôvodom je, že táto operácia vráti rovnakú hodnotu („*“), aká sa používa na označenie účtu, ktorý má na systémovej úrovni zakázané prihlasovanie pomocou hesla.
Útočník môže zraniteľnosť vyvolať použitím ľubovoľného hesla s dĺžkou od 257 do 1 024 bajtov pri pokuse o prihlásenie do určitých účtov so zakázaným heslom.
Takto dlhé heslo spôsobí zlyhanie operácie hashovania, ktorá následne vráti znak hviezdičky (*). Démon sshd potom túto hodnotu porovná s hviezdičkou uloženou v poli hesla používateľského účtu, čo vedie k úspešnému prihláseniu.
Je dôležité zdôrazniť, že úspešné zneužitie zraniteľnosti vyžaduje existenciu aspoň jedného používateľského účtu, ktorého hash hesla obsahuje hviezdičku (*). Zraniteľnosť neumožňuje útočníkom obísť heslá účtov, ktoré majú platné hashe hesiel.
„Úspešný útok SSHole poskytuje útočníkovi prístup s existujúcimi oprávneniami kompromitovaného používateľského účtu,“ uviedla spoločnosť Safe Security.
„V podnikovom prostredí závisia dôsledky zraniteľnosti SSHole od úrovne oprávnení kompromitovaného účtu.“
„Hoci bezprostredným dôsledkom je neoprávnený prístup cez SSH, útočníci môžu získať aj prístup k prihlasovacím údajom používaným pri nasadzovaní aplikácií, aplikačným tajomstvám (application secrets) a prepojenej infraštruktúre. To môže následne umožniť laterálny pohyb v sieti (lateral movement) alebo narušenie poskytovaných služieb.“
Za zmienku stojí, že zraniteľnosť nepostihuje SSH server Dropbear, linuxové distribúcie založené na knižnici glibc, systémy mimo Linuxu ani systémy, ktoré overujú heslá prostredníctvom PAM.
Spoločnosť Previdian, ktorá sa zaoberá analýzou kybernetických hrozieb (threat intelligence), uviedla, že prvý pokus o zneužitie zaznamenala menej než deväť hodín po zverejnení CVE.
Zároveň potvrdila úspešné získanie root prístupu na honeypote používajúcom Alpine Linux a OpenSSH.
Telemetrické údaje zaznamenali celkovo osem pokusov o zneužitie zraniteľnosti z IP adresy, ktorá bola geolokačne priradená k Japonsku.
„Pozorovaná zdrojová IP adresa 89.116.89[.]18 využívala nadmerne dlhé heslá na obídenie autentifikácie a prostredníctvom neinteraktívnych SSH relácií spúšťala prieskumné príkazy vrátane id, uname a hostname,“ uviedol Ryan Dewhurst, zakladateľ a generálny riaditeľ spoločnosti Previdian, vo vyhlásení poskytnutom portálu The Hacker News.
Používateľom dotknutých systémov sa odporúča nainštalovať OpenSSH 10.6p2 alebo opravený balík poskytovaný ich linuxovou distribúciou a následne reštartovať službu sshd.
Distribúcia Alpine Linux zároveň odporúča preveriť záznamy v systémových logoch obsahujúce text „Accepted password for“, najmä ak sa týkajú účtov, ktoré by nemali umožňovať prihlasovanie pomocou hesla.
„V súbore /var/log/messages vyhľadajte záznamy služby sshd obsahujúce text Accepted password for pre účet, ktorý nemá nastavené heslo (napríklad alpine, root alebo akýkoľvek používateľský účet určený výhradne na prihlasovanie pomocou SSH kľúča),“ uviedli vývojári Alpine Linux.
„Na systémoch vystavených prístupu zo siete skontrolujte používanie nástroja doas, nedávno vytvorených používateľov, súbory a autorizované SSH kľúče. Ak nedokážete vylúčiť, že došlo k neoprávnenému prihláseniu, považujte daný systém za kompromitovaný.“
Aktualizácia
K 8. novembru 2026 sa počet zaznamenaných pokusov o zneužitie zraniteľnosti zvýšil na 20, pričom pochádzali z 13 unikátnych IP adries.
Tieto IP adresy boli geolokačne priradené k Dánsku, Iránu, Japonsku, Holandsku, Nórsku, Singapuru, Švédsku, Švajčiarsku a Spojeným štátom americkým.
Viac informácií tu:
https://thehackernews.com/2026/11/hackers-exploited-openssh-sshole-flaw.html