OpenSSH-ի կրիտիկական CVE-2026-123158 խոցելիությունը ակտիվ շահագործվում է Linux համակարգերում

Անվտանգության հետազոտողները հաղորդում են CVE-2026-123158-ի ակտիվ շահագործման մասին, որը OpenSSH-ի և musl-ի հետ կապված կրիտիկական խոցելիություն է և կարող է չնույնականացված հարձակվողներին բարձր արտոնություններով մուտք տալ որոշ Linux համակարգեր։ Խոցելիությունը, որը նշվում է CVE-2026-123158 համարով, հանրայնացվել է անցած հինգշաբթի, և դրանից հետո բազմաթիվ ընկերություններ հաղորդել են հարձակումների մասին։ OpenSSH-ը թողարկել է ուղղում, և օգտատերերին կոչ է արվում այն անհապաղ տեղադրել։

Ինչպես է աշխատում խոցելիությունը

Խոցելիությունը գտնվում է OpenSSH-ում, երբ այն աշխատում է musl-ի հետ, որը Linux-ում լայնորեն օգտագործվող libc կոդային գրադարանի այլընտրանք է։ OpenSSH-ը չպետք է օգտագործի PAM, և SSH-ի կազմաձևում պետք է ներառված լինի առնվազն մեկ հաշիվ, որը հասանելի է SHA256 կամ SHA512 եղանակով հեշավորված գաղտնաբառով։ Այն նաև պետք է օգտագործի առանց գաղտնաբառի հաշիվներ՝ /etc/shadow ֆայլի գաղտնաբառի դաշտում '*' նշելով, ինչը որոշ հաշիվների տեսակների համար ստանդարտ կարգավորում է։ Շահագործումը ակտիվանում է, երբ հարձակվողը առանց գաղտնաբառի հաշվի համար մուտքագրում է 256 նիշից ավելի երկար գաղտնաբառ։ Չափազանց մեծ գաղտնաբառը առաջացնում է սխալ, որի պատճառով musl-ի գաղտնաբառի հեշավորման ֆունկցիան վերադարձնում է '*', շահագործելով տողի՝ որպես գաղտնաբառի հեշ նախատեսված լինելու կամ չլինելու սխալ մեկնաբանությունը, ըստ Red Hat-ի։

Ակտիվ շահագործման հաղորդումներ

Greynoise-ը երկուշաբթի հայտարարեց, որ Հարավարևելյան Ասիայում պահպանած իր մեղրաթակարդները հարձակման ենթարկվել են GT10 անվամբ հետևվող խմբի կողմից, որը համակարգերում իրականացրել է «հասուն ներթափանցումներ»։ Ավելի ուշ Greynoise-ը մուտք է գործել GT10-ի սերվեր և բացահայտել հնարավոր այլ զոհերի ու արշավում օգտագործված որոշ գործիքներ։ Հարձակումներում օգտագործված հետին դուռը պարունակում է չինարեն լեզվով մեկնաբանություններ և, կարծես, ստեղծվել է AI-ով։ GT10-ը նաև տեղադրում է Python3 այն մեքենաներում, որոնք չունեն այն, քանի որ փաթեթն անհրաժեշտ է հետին դռան աշխատեցնելու համար, որը նշվում է TAC Agent և աջակցում է շելլային հրամաններին, համակարգի հետախուզմանը և համակարգում մշտական ներկայության ապահովմանը։ watchTowr անվտանգության ընկերությունը ուրբաթ հայտարարեց, որ տեսնում է բոտնետների և կրիպտոարժույթի հետ կապված շահագործման ակտիվություն, իսկ Previdian-ը հաղորդեց նման ակտիվության մասին։ Previdian-ը հայտարարեց, որ իր սենսորները տեսել են 20 շահագործման փորձ 13 եզակի հարձակվող IP հասցեներից, որոնք գտնվում են ինը երկրներում։

Ով է վտանգի տակ

Չնայած պահանջվող բազմաթիվ պայմաններին, CVE-2026-123158-ը լուրջ սպառնալիք է մեքենաների մեծ բազայի համար, հատկապես նրանց, որոնք աշխատում են Alpine-ով՝ թեթև Linux դիստրիբյուտիվով։ Շահագործման հեշտությունը թույլ է տալիս հարձակվողներին ուղղել վնասակար հրամաններ համացանցին բաց SSH սերվերներին և վայրկյանների ընթացքում բացահայտել հնարավոր խոցելիները։ Բոլորը, ովքեր օգտագործում են OpenSSH, պետք է անհապաղ տեղադրեն թարմացումը, իսկ նրանք, ովքեր օգտագործում են musl, պետք է լրացուցիչ հետազոտեն։

Աղբյուրներ՝ Ars Technica