Tin tặc khai thác lỗ hổng SSHole của OpenSSH chỉ vài giờ sau khi công bố, chiếm quyền root trên honeypot

Các nhóm tấn công đã bắt đầu nhắm vào một lỗ hổng bảo mật mới được công bố của OpenSSH, cho phép đăng nhập vào những tài khoản không đặt mật khẩu. Theo công ty tình báo mối đe dọa Previdian, lỗ hổng có mã CVE-2026-123158 (điểm CVSS 8.1) và được đặt biệt danh SSHole, ảnh hưởng tới các hệ thống Linux chạy OpenSSH trên thư viện C musl với Pluggable Authentication Modules (PAM) bị tắt, bao gồm cấu hình máy chủ OpenSSH mặc định của Alpine Linux.

Cơ chế của lỗ hổng

Kẻ tấn công chưa xác thực có thể gửi một mật khẩu quá dài để truy cập các tài khoản được cấu hình cố ý không có mật khẩu dùng được, mà không cần đánh cắp thông tin đăng nhập hay khóa SSH. Lỗ hổng do nhà nghiên cứu bảo mật Ozgun Kultekin phát hiện và đã được vá trong OpenSSH 10.6p2.

Nguồn gốc vấn đề nằm ở một bản vá từ năm 2016 nhằm khắc phục lỗ hổng liệt kê tên người dùng CVE-2016-6210. Trong một số điều kiện nhất định, OpenSSH xử lý mật khẩu sai cách, coi thao tác băm mật khẩu thất bại là xác thực thành công bằng cách trả về cùng một giá trị "*" vốn dùng để đánh dấu tài khoản bị vô hiệu hóa mật khẩu ở cấp hệ thống.

Kẻ tấn công có thể kích hoạt lỗ hổng để xác thực vào một số tài khoản bị vô hiệu hóa mật khẩu bằng mật khẩu tùy ý dài từ 257 đến 1.024 byte, khiến lần băm thất bại và trả về dấu hoa thị. Tiến trình sshd sau đó so sánh với dấu hoa thị lưu trong trường mật khẩu của tài khoản, dẫn tới đăng nhập thành công.

Điều kiện khai thác và tác động

Cần lưu ý rằng khai thác thành công đòi hỏi ít nhất một tài khoản có dấu hoa thị (*) làm giá trị băm mật khẩu. Lỗ hổng không cho phép bỏ qua mật khẩu trên các tài khoản có giá trị băm mật khẩu hợp lệ.

Theo Safe Security, một cuộc tấn công SSHole thành công sẽ cấp quyền truy cập theo đúng quyền hiện có của tài khoản bị xâm phạm. Với doanh nghiệp, hậu quả phụ thuộc vào đặc quyền của tài khoản đó. Ngoài truy cập SSH trái phép, kẻ tấn công còn có thể lấy được thông tin đăng nhập triển khai, bí mật ứng dụng và hạ tầng kết nối, từ đó có khả năng di chuyển ngang hoặc gây gián đoạn dịch vụ.

Lỗ hổng không ảnh hưởng tới Dropbear, các bản phân phối Linux dùng glibc, hệ thống không phải Linux và các hệ thống kiểm tra mật khẩu qua PAM.

Khai thác thực tế trong chưa đầy 9 giờ

Previdian cho biết đã ghi nhận nỗ lực khai thác đầu tiên chưa đầy 9 giờ sau khi CVE được công bố, đồng thời xác nhận chiếm được quyền root thành công trên một honeypot chạy Alpine Linux và OpenSSH. Dữ liệu giám sát cho thấy tổng cộng 8 lần thử khai thác từ một địa chỉ IP được định vị ở Nhật Bản.

Ryan Dewhurst, nhà sáng lập kiêm CEO của Previdian, cho biết IP nguồn quan sát được là 89.116.89[.]18 đã dùng mật khẩu quá dài để vượt xác thực và chạy các lệnh trinh sát như id, uname và hostname qua các phiên SSH không tương tác.

Khuyến nghị xử lý

Người dùng bị ảnh hưởng nên cài OpenSSH 10.6p2 hoặc gói đã vá của bản phân phối rồi khởi động lại sshd. Alpine cũng khuyến nghị kiểm tra các dòng log "Accepted password for" liên quan tới tài khoản không nên chấp nhận đăng nhập bằng mật khẩu.

Theo Alpine, cần tìm trong /var/log/messages các dòng sshd ghi "Accepted password for" với tài khoản không có mật khẩu như alpine, root hoặc bất kỳ người dùng chỉ dùng khóa. Đồng thời rà soát việc dùng doas và các người dùng, tệp, khóa được ủy quyền mới tạo trên máy bị lộ. Nếu không thể loại trừ khả năng đã bị đăng nhập, hãy coi máy đó là đã bị xâm phạm.

Nguồn: The Hacker News