OpenSSH’nin “SShole” Açığını Açıklamadan Saatler İçinde Sızan Hackerlar Honeypot’ta Root Erişimi Kazandı

İstismarcılar, şifresi ayarlanmamış hesaplara giriş yapmayı mümkün kılabilecek ve OpenSSH’yi etkileyen yeni ortaya çıkarılan bir güvenlik açığını istismarmaya çalışıyor; bu konuda uyarıda bulunan Previdian oldu.

CVE-2026-123158 olarak takip edilen (CVSS puanı: 8.1) ve SSHole (veya *sshole) kod adını taşıyan açıklık, musl C kütüphanesi üzerinde OpenSSH çalıştıran ve Eklenebilir Kimlik Doğrulama Modülleri (PAM) devre dışı bırakılmış Linux sistemlerini etkiliyor; bu alına Alpine Linux’un varsayılan OpenSSH sunucu yapılandırması da dahil.

Kimliği doğrulanmamış bir saldırgan, kimlik bilgilerini veya SSH anahtarlarını çalmadan, bilinçli olarak kullanılabilir şifresi olmadan yapılandırılmış hesaplara erişmek için aşırı uzun bir şifre sağlayabilir. Güvenlik araştırmacısı Ozgun Kultekin tarafından tespit edilen sorun, OpenSSH 10.6p2 sürümünde giderildi.

Sorunun kaynağı, 2016 yılında CVE-2016-6210 olarak takip edilen bir kullanıcı adı numaralandırma açığını gidermek için getirilen bir yamaya dayanıyor. Belirli koşullar altında OpenSSH’deki şifre işleme davranışı, başarısız bir şifreleme işlemini, sistem düzeyinde şifresi devre dışı bırakılmış bir hesabı işaretlemek için kullanılan aynı değeri (“*”) üreterek başarılı kimlik doğrulama olarak yanlış yorumluyor.

Saldırgan, hash denemesinin başarısız olması ve asterisk (yıldız) döndürmesi için 257 ile 1.024 byte arasında değişen rastgele bir şifre kullanarak belirli şifresi devre dışı hesaplara kimlik doğrulama tetikleyebilir. Ardından sshd arka plan hizmeti, hesabın şifre alanında saklanan asterisk ile karşılaştırma yapar ve başarılı bir girişe yol açar.

Açıkça belirtmek gerekirse, başarılı bir istismar en az bir hesabın şifre hash’i olarak asterisk (*) içermesini gerektirir. Geçerli şifre hash’in sahip hesapların şifrelerini atlatmayı sağlamaz.

“Başarılı bir SSHole saldırısı, ihlal edilen hesabın mevcut izinleriyle erişim sağlar,” diyor Safe Security. “Kurumlar için SSHole’un sonuçları, ihlal hesabının ayrıcalıklarına bağlıdır.”

“İzinsiz SSH erişimi ilk aşamada doğrudan etki yaratmakla birlikte, saldırganlar aynı zamanda dağıtım kimlik bilgilerine, uygulama gizli anahtarlarına ve bağlı altyapıya erişme imkanı bulabilir; bu da yatay hareket ya da hizmet kesintisine yol açabilir.”

Değerlendirildiğinde, açıklanan açıklığın Dropbear’ı, glibc tabanlı Linux dağıtımlarını, Linux dışı sistemleri ve şifreleri PAM üzerinden doğrulayan sistemleri etkilemediği görülüyor.

Tehlike istihbaratı şirketi Previdian, CVE’nin yayımlanmasından dokuz saatten kısa bir süre sonra ilk sömürme girişimini gözlemlediğini ve Alpine Linux ile OpenSSH çalıştıran bir honeypot üzerinde başarılı kök (root) erişimini teyit ettiğini belirtti. Telemetri verileri, Japonya’ya konumlandırılan bir IP adresinden gelen toplam sekiz sömürme girişimini ortaya koyuyor.

“Gözlemlenen kaynak IP adresi, 89.116.89[.]18, kimlik doğrulamayı atlatmak için aşırı uzun şifreler kullandı ve etkileşimsiz SSH oturumları üzerinden id, uname ve hostname gibi keşif komutlarını çalıştırdı,” dedi Ryan Dewhurst, Previdian’ın kurucusu ve CEO’su, The Hacker News ile paylaştığı açıklamada.

Etkilenen kullanıcıların OpenSSH 10.6p2 sürümünü ya da kendi dağıtımlarının yamalı paketini kurmaları ve ardından sshd’yi yeniden başlatmaları öneriliyor. Alpine ayrıca kullanıcıların, şifreli giriş kabul etmemesi gereken hesaplarla ilgili “Accepted password for” girişlerini araştırmalarını öneriyor.

“/var/log/messages içinde, şifresi olmayan bir hesap (alpine, root ya da yalnızca anahtar kullanan bir kullanıcı) için ‘Accepted password for’ diye başlayan sshd satırlarına bakın,” dedi Alpine. “Maruz kalan makinelerde doas kullanımını ve son dönemde oluşturulan kullanıcıları, dosyaları ve yetkili anahtarları gözden geçirin. Bir girişi dışlayamıyorsanız, makineyi zayıflatılmış (çalınmış) olarak değerlendirin.”