SSH’ye Sızan Açığı: Hacker’ların Linux Cihazlara Erişimini Sağlayan *sshole.

Bazı Alpine Linux yapılandırmalarında çalışen ve muhtemelen diğer dağıtımlarda da etkilenen cihazlar, şifresiz giriş yapılmasına olanak tanıyan on yıllık bir açıkları içeriyor.

Açıklık, SSH bağlantılarını uygulayan kod kütüphanesi OpenSSH ile musl arasında gerçekleşen etkileşimde mevcut. musl, çoğu diğer Linux dağıtımının aksine Alpine’de kullanılan, libc kütüphanesinin hafif bir alternatifi. Ayrıca OpenSSH, musl (muscle diye okunur) kullanırken PAM’ı (pluggable authentication modülleri) kullanmamalı; PAM, kullanıcı kimlik doğrulaması ve hesap erişim denetimlerini yöneten bir çerçevedir. Alpine, hafif ve yaygın olarak kullanılan bir Linux dağıtımı. Aynı yapılandırmaları kullanan diğer platformlar da etkilenmiş olabilir.

Bir bağlantı, her seferinde çalışır, yeniden denemeye gerek yok

Başarılı sömürü için gerekli iki koşul daha var. İlki, sistemin en az bir kullanıcı hesabının SHA256 veya SHA512 işlevleriyle özetlenmiş bir şifreyle erişilebilir olması. İkincisi, hedef sistem hesabının /etc/shadow dosyasındaki şifre alanında “” belirtilerek şifresiz olacak şekilde yapılandırılması; /etc/shadow, şifre özetlerinin saklandığı Linux dosyasıdır. Şifresiz hesaplar genellikle sertifika tabanlı kimlik doğrulaması kullanan hesaplar için kullanılır. Bu ayar, belirli hesap türlerinde yaygındır.

Tüm koşullar sağlandığında sonuçlar ağır olur.

“SSH portunuza ulaşabilen bir saldırgan, herhangi bir şifre bilmeden giriş yapabilir,” Alpine sürdürücüleri Perşembe günü yaptı. “Bir bağlantı yeterli, her seferinde çalışır ve yeniden denemeye gerek yok.”

Şifresiz bir hesaba giriş yaparken saldırgan, şifre alanında 256’dan fazla karakter girerek erişim sağlayabilir.

Güvenlik şirketi Checkpoint, SHA256 veya SHA512 fonksiyonlarının kullanımının “önemli olduğunu, çünkü sshd’nin bu hesabın salt değerini kullandığını; bunun olmadan saldırının başarısız olduğunu” belirtti. Şirket araştırmacıları, testlerinin aynı zamanda hesabın aktif olması gerektiğini, yalnızca bir hash içermesinin yeterli olmadığını da gösterdiğini söyledi. Checkpoint, kök (root) hesaplarının varsayılan PermitRootLogin prohibit ayarı altında güvende olduğunu, ancak doas veya sudo yetkisine sahip erişilebilir hesapların hâlâ kök olabileceğini aktardı.

Ön koşullara rağmen, açığı keşfeden kişinin verdiği isimle sshole—büyük sayıda sisteme tehdit oluşturması muhtemel. Docker Hub’daki Alpine temel görüntüsü 1 milyardan fazla indirilmeye sahip. Alpine uzun süredir yönlendiricilerde, akıllı televizyonlarda, endüstriyel kontrol cihazlarında ve kolayca güncellenemeyen (ya da hiç güncellenemeyen) diğer gömülü cihaz türlerinde popülerdi; son zamanlarda masaüstü bilgisayarlarda ve sunucularda da kullanılmaya başlandı. Alpine, aynı zamanda birçok konteyner görüntüsünde de kullanılıyor.

Güvenlik şirketi Detectify’e göre, Shodan port 22’de SSH açık olan yaklaşık 22 milyon sistemi listeliyor. Yalnızca küçük bir kısmı sömürü için gerekli koşulları karşılıyor; ancak her birini test etmenin kolaylığı ve hızı göz önüne alındığında, savunmasız cihazları bulmak pek çok çaba veya zaman gerektirmeyecek.

Açığın tam olarak nerede yer aldığı tamamen net değil. Perşembe günü bir güncelleme yayınlayan OpenSSH, “Bu hatanın kök nedeninin sshd dışında olduğunu düşünüyoruz, ancak sshd üzerinden sömürülebilir ve orada önlenebilir” dedi. musl geliştiricisi Rich Felker ise buna karşılık, “Bu konuda musl’daki bir hata değil, çağrı yapan tarafın hatalı bir kullanımı olduğunu savunuyorum” yazdı. Felker, musl geliştiricilerinin bu mekanizmayı “bir süredir” değiştirme niyetinde olduğunu ve bunu yakında yayınlanacak bir sürümde yapmayı planladıklarını ekledi. Alpine de bir güncelleme yayınladı.

Diğer hangi paketlerin zafiyete açık olduğu henüz bilinmiyor. *sshole açıklamasını yapan kişi, OpenWRT’nin etkilendiğini belirtiyor ancak varsayılan olarak bu işletim sistemi SSH bağlantıları için OpenSSH yerine Dropbear paketini kullanıyor (bakımcılar sonrasını kurmak için talimatlar sağlıyor). Açıklamayı yapan kişi, etkilenen paketler olarak buildroot ve yocto’yu da isimlendiriyor ancak bu henüz doğrulanmadı.

Belirsizliğe rağmen, hem musl hem de OpenSSH kullanan bir Linux sistemi kullanan herkes, etkilenip etkilenmediğini derhal araştırmak için zaman ayırmalı. İyi bir başlangıç noktası burada. Hem Alpine hem de OpenSSH yamaları, etkilenen tüm sistemlere kurulmalı. Zafiyet için bilinen bir CVE numarası yok.