Sicherheitslücke bei SSH-Anmeldungen: Lange Passwörter öffnen Linux-Konten

·

Sladjan Lazic

Ein Fehler im Zusammenspiel von OpenSSH und der C-Bibliothek musl ermöglicht unter bestimmten Voraussetzungen unbefugte Anmeldungen. Besonders betroffen ist Alpine Linux. Sicherheitsupdates stehen bereit.

Ein ungewöhnlich langes Passwort kann auf anfälligen Linux-Systemen ausreichen, um Zugang zu einem fremden Benutzerkonto zu erhalten. Der Sicherheitsforscher Özgün Kültekin von Wakefield hat die Schwachstelle entdeckt und unter dem Namen „*sshole“ veröffentlicht. Sie betrifft Konten, für die eigentlich keine Anmeldung per Passwort möglich sein sollte. Nach Angaben des Forschers besteht das Problem seit OpenSSH 7.3p1 aus dem Jahr 2016.

Gefährdet sind Systeme, auf denen der SSH-Server OpenSSH mit der C-Bibliothek musl arbeitet und die Authentifizierung ohne PAM erfolgt. Zugleich muss der Server grundsätzlich Passwortanmeldungen zulassen. Diese Kombination findet sich etwa beim regulären OpenSSH-Serverpaket von Alpine Linux. Debian, Ubuntu und Fedora sind in ihren üblichen, auf glibc basierenden Konfigurationen von dieser Schwachstelle nicht betroffen. Auch musl-basierte Varianten anderer Linux-Systeme können dagegen anfällig sein.

Für eine erfolgreiche Ausnutzung müssen weitere Bedingungen zusammenkommen: Das angegriffene Konto muss im Passwortfeld der Datei /etc/shadow einen einzelnen Stern enthalten. Dieser Platzhalter soll verhindern, dass ein Passwort akzeptiert wird, während beispielsweise eine Anmeldung mit einem SSH-Schlüssel weiterhin möglich bleibt. Außerdem benötigt das System mindestens ein weiteres Konto mit einem SHA-256- oder SHA-512-basierten Passwort-Hash. Dessen Passwort muss der Angreifer nicht kennen.

Die Ursache liegt in einer fehlerhaften Verarbeitung von Rückgabewerten. Bei überlangen Passworteingaben liefert die musl-Funktion crypt() einen Stern als Fehlersignal zurück. OpenSSH kann diesen mit dem gleichlautenden Platzhalter des angegriffenen Kontos vergleichen und die Anmeldung fälschlich akzeptieren. Auslösen lässt sich das Verhalten mit Eingaben zwischen 257 und 1.024 Byte. Der Passwort-Hash des zweiten Kontos spielt dabei eine indirekte Rolle: OpenSSH verwendet dessen Salt-Wert für die Berechnung, wenn dem Zielkonto ein geeigneter eigener Hash fehlt.

Je nach Konfiguration reicht der mögliche Schaden bis zur vollständigen Übernahme des Systems. Ein direkter Einstieg als Root setzt bei Alpine voraus, dass Passwortanmeldungen für dieses Konto ausdrücklich freigegeben wurden. Bei bestimmten offiziellen Cloud-Images kann auch der Benutzer alpine zum Einfallstor werden: Das Konto darf über doas ohne zusätzliche Passwortabfrage Root-Rechte erlangen. Verwundbar werden solche Installationen, sobald auch die übrigen Voraussetzungen erfüllt sind.

Mit OpenSSH 10.6p2 steht seit dem 5. November 2026 eine Absicherung bereit. Die OpenSSH-Entwickler verorten die eigentliche Ursache außerhalb ihres SSH-Servers, verhindern die Ausnutzung aber durch eine Änderung in sshd. Auch aktualisierte Distributionspakete können den entsprechenden Patch enthalten, ohne die Versionsnummer 10.6p2 zu tragen.

Administratoren betroffener Systeme sollten die Sicherheitsupdates zeitnah installieren und den SSH-Dienst anschließend neu starten. Alpine weist ausdrücklich darauf hin, dass ein Paketupdate allein den bereits laufenden Dienst nicht ersetzt. Bis zur Aktualisierung lässt sich die Schwachstelle durch das Abschalten der SSH-Passwortanmeldung schließen. Auffällige erfolgreiche Passwortanmeldungen bei Konten, deren Passwortfeld lediglich einen Stern enthält, sollten zudem als möglicher Hinweis auf eine Kompromittierung untersucht werden.

Sladjan Lazic
Latest posts by Sladjan Lazic (see all)

Das könnte dich auch interessieren

Comments

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert