SSHole-Lücke in OpenSSH führt zu Root-Zugriff auf Alpine-Honeypot
Previdian beobachtete weniger als neun Stunden nach der Veröffentlichung von CVE-2026-123158 erste Ausnutzungsversuche gegen die OpenSSH-Lücke SSHole und bestätigte Root-Zugriff auf einen Honeypot mit Alpine Linux. Das teilte die Sicherheitsfirma laut The Hacker News mit. Die Schwachstelle hat den CVSS-Wert 8.1 und wurde in OpenSSH 10.6p2 behoben.
Laut The Hacker News betrifft SSHole Linux-Systeme mit der musl-C-Bibliothek und deaktivierten Pluggable Authentication Modules (PAM), einer zusätzlichen Prüfung für Anmeldungen. Dazu gehört die Standardkonfiguration des OpenSSH-Servers von Alpine Linux. Ein Angreifer braucht nach den Angaben weder gestohlene Zugangsdaten noch einen SSH-Schlüssel, sondern muss ein Konto ansprechen, dessen Passwortfeld mit einem Sternchen markiert ist.
The Hacker News beschreibt den Auslöser als beliebiges Passwort mit einer Länge von 257 bis 1.024 Byte. Unter diesen Bedingungen kann der fehlgeschlagene Hash-Vorgang einen Stern erzeugen. OpenSSH vergleicht diesen Wert anschließend mit dem Sternchen im Passwortfeld des Kontos und akzeptiert die Anmeldung. Konten mit gültigem Passwort-Hash lassen sich auf diesem Weg nicht umgehen. Nicht betroffen sind laut der Quelle Dropbear, glibc-basierte Linux-Distributionen, Nicht-Linux-Systeme und Installationen, die Passwörter über PAM prüfen.
Previdians Telemetrie erfasste insgesamt acht Ausnutzungsversuche von einer IP-Adresse, die geografisch Japan zugeordnet wurde. Die Quelle nannte 89.116.89[.]18 als Absender. Über nicht interaktive SSH-Sitzungen führten die Angreifer nach Angaben von Previdian die Aufklärungsbefehle id, uname und hostname aus. Der Zugriff erfolgt mit den Rechten des betroffenen Kontos, wie Safe Security sagte; die möglichen Folgen hängen deshalb von dessen Berechtigungen ab.
Betreiber sollten nach Angaben von The Hacker News OpenSSH 10.6p2 oder das korrigierte Paket ihrer Distribution installieren und anschließend sshd neu starten. Alpine rät, in /var/log/messages nach „Accepted password for“-Einträgen für Konten zu suchen, die keine Passwortanmeldung erlauben sollen, darunter alpine, root oder reine Schlüsselkonten. Bei einem nicht auszuschließenden Login empfiehlt Alpine, die betroffene Maschine als kompromittiert zu behandeln und die Nutzung von doas sowie neu angelegte Benutzer, Dateien und autorisierte Schlüssel zu prüfen.