OpenSSH-ის კრიტიკული ხარვეზი CVE-2026-123158 Linux-ის სისტემებზე აქტიურად ექსპლუატირდება

უსაფრთხოების მკვლევარები იუწყებიან, რომ აქტიურად ექსპლუატირდება CVE-2026-123158, კრიტიკული ხარვეზი, რომელიც OpenSSH-სა და musl-ს ეხება და რომელსაც აუთენტიფიკაციის გარეშე მოქმედ თავდამსხმელებს ზოგიერთ Linux-ის სისტემაზე მაღალი უფლებების მქონე წვდომა შეუძლია მისცეს. ხარვეზი, რომელსაც CVE-2026-123158 იდენტიფიკატორით აღნიშნავენ, საჯაროდ გასულ ხუთშაბათს გახდა ცნობილი და მას შემდეგ რამდენიმე კომპანიამ შეტევების შესახებ შეატყობინა. OpenSSH-მა შესწორება გამოუშვა და მომხმარებლებს მოუწოდებენ, დროულად დააყენონ ის.

როგორ მუშაობს ხარვეზი

ხარვეზი OpenSSH-ში ჩნდება მაშინ, როცა ის musl-თან ერთად მუშაობს, რომელიც Linux-ზე ფართოდ გამოყენებული libc კოდის ბიბლიოთეკის ალტერნატივაა. OpenSSH არ უნდა იყენებდეს PAM-ს, ხოლო SSH-ის კონფიგურაციაში უნდა იყოს მინიმუმ ერთი ანგარიში, რომელზეც წვდომა შესაძლებელია SHA256-ით ან SHA512-ით ჰეშირებული პაროლით. ასევე უნდა იყენებდეს უპაროლო ანგარიშებს, /etc/shadow ფაილში პაროლის ველში '*' მითითებით, რაც გარკვეული ტიპის ანგარიშებისთვის სტანდარტული კონფიგურაციაა. ექსპლუატაცია ხდება მაშინ, როცა თავდამსხმელი უპაროლო ანგარიშისთვის 256-ზე მეტი სიმბოლოს შემცველ პაროლს შეიყვანს. ზედმეტად გრძელი პაროლი იწვევს შეცდომას, რის გამოც musl-ის პაროლის ჰეშირების ფუნქცია '*' აბრუნებს; Red Hat-ის ცნობით, შეტევები იყენებს იმის არასწორ ინტერპრეტაციას, წარმოადგენს თუ არა სტრიქონი პაროლის ჰეშს.

აქტიური ექსპლუატაციის შესახებ ცნობები

Greynoise-მა ორშაბათს განაცხადა, რომ სამხრეთ-აღმოსავლეთ აზიაში განლაგებულ ჰანიფოტებს, რომლებსაც თავად ინახავს, თავს დაესხა ჯგუფი, რომელსაც ის GT10-ის სახელწოდებით აკვირდება და რომელმაც სისტემებში „გამართული შეჭრები“ განახორციელა. Greynoise-მა მოგვიანებით მიიღო წვდომა GT10-ის სერვერზე, რომელმაც გამოავლინა სხვა შესაძლო მსხვერპლები და კამპანიაში გამოყენებული რამდენიმე ინსტრუმენტი. შეტევებში გამოყენებული ბექდორი შეიცავს ჩინურენოვან კომენტარებს და, როგორც ჩანს, AI-ით არის გენერირებული. GT10 ასევე აყენებს Python3-ს იმ მანქანებზე, სადაც ის არ არის, რადგან ეს პაკეტი აუცილებელია ბექდორის გასაშვებად; მას TAC Agent-ის სახელწოდებით აღნიშნავენ და ის ასრულებს shell-ის ბრძანებებს, ატარებს სისტემის დაზვერვას და ინარჩუნებს წვდომას სისტემაში. უსაფრთხოების კომპანია watchTowr-მა პარასკევს განაცხადა, რომ ხედავდა botnet-ებთან და კრიპტოვალუტასთან დაკავშირებულ ექსპლუატაციის აქტივობას, ხოლო Previdian-მა მსგავს აქტივობაზე შეატყობინა. Previdian-მა განაცხადა, რომ მისმა სენსორებმა დააფიქსირეს ექსპლუატაციის 20 მცდელობა 13 უნიკალური თავდამსხმელი IP-მისამართიდან, რომელთა გეოლოკაცია ცხრა ქვეყანას მოიცავს.

ვინ არის რისკის ქვეშ

მიუხედავად იმისა, რომ რამდენიმე პირობაა საჭირო, CVE-2026-123158 სერიოზულ საფრთხეს წარმოადგენს მანქანების დიდი რაოდენობისთვის, განსაკუთრებით იმ მანქანებისთვის, რომლებზეც Alpine მუშაობს. Alpine Linux-ის მსუბუქი დისტრიბუციაა. ექსპლუატაციის სიმარტივე თავდამსხმელებს საშუალებას აძლევს, ინტერნეტზე ღია SSH სერვერებზე მავნე ბრძანებები გაგზავნონ და წამებში ამოიცნონ პოტენციურად დაუცველები. ყველამ, ვინც OpenSSH-ს იყენებს, დროულად უნდა დააყენოს განახლება, ხოლო musl-ის მომხმარებლებმა დამატებით უნდა გამოიკვლიონ სიტუაცია.

წყაროები: Ars Technica