Linux ma absurdalną lukę. Wystarczy wpisać bzdurę, serio

Hasło składające się z kilkuset przypadkowych znaków może otworzyć dostęp do systemu Linux, nawet jeśli atakujący nie zna prawidłowych danych logowania. Brzmi absurdalnie, ale właśnie na tym polega podatność SSHole, przed którą ostrzega amerykańska agencja CISA. Luka jest już aktywnie wykorzystywana, a w określonych konfiguracjach pozwala przejąć nawet konto administratora.

Problem dotyczy przede wszystkim systemów korzystających z biblioteki musl i serwera OpenSSH. Zagrożone mogą być między innymi routery, kontenery oraz urządzenia działające na lekkich dystrybucjach Linuksa. Dotknięte tym problemem systemy to Alpine, OpenWrt, Buildroot, Yocto i inne, często w domyślnych konfiguracjach. Błąd jest oznaczony jako CVE-2026-12315 i ma ocenę 8,1 na 10. 

Wystarczy bardzo długie hasło i Linux może wpuścić intruza

Wykorzystanie tego ataku jest banalnie proste, ponieważ każdy długi ciąg znaków o długości od 257 do 1024 znaków zostanie zaakceptowany w podatnych systemach jako prawidłowe hasło do kont nieposiadających hasła, w tym root.

Problem pojawia się w systemach korzystających z biblioteki musl, w których uwierzytelnianie SSH działa bez modułów PAM. Podczas przetwarzania zbyt długiego hasła biblioteka może zwrócić znak gwiazdki zamiast prawidłowego wyniku funkcji haszującej. Ten sam symbol bywa używany w systemowych bazach kont do oznaczania zablokowanego uwierzytelniania hasłem. W rezultacie mechanizm logowania może błędnie uznać nieprawidłowe dane za poprawne.

Szczególnie niebezpieczna jest sytuacja, w której podatna konfiguracja pozwala na dostęp do konta root. Atakujący może wtedy uzyskać uprawnienia administratora i pełną kontrolę nad urządzeniem. Nie jest to jednak uniwersalna metoda logowania do każdego komputera z Linuksem. Wykorzystanie błędu wymaga spełnienia konkretnych warunków.

Alpine, OpenWrt i systemy wbudowane mogą być zagrożone

Wśród środowisk potencjalnie podatnych na SSHole wymieniane są Alpine Linux, OpenWrt, Buildroot i Yocto. Rozwiązania te często wykorzystuje się w kontenerach, routerach, urządzeniach sieciowych oraz systemach wbudowanych.

Twórcy oprogramowania OpenSSH wydali zaktualizowaną wersję, chociaż uznali, że główna przyczyna błędu leży poza samym oprogramowaniem OpenSSH.