Die OpenSSH-Lücke namens *sshole ermöglicht den Einbruch in Server mit Alpine Linux — und anderen Systemen auf Basis der C-Bibliothek musl — mit einem einzigen langen Passwort von 257 bis 1.024 Zeichen. Forscher Özgün Kültekin der Sicherheitsfirma Wakefield hat die Schwachstelle am 5. November 2026 offengelegt, und die Korrektur ist bereits in OpenSSH 10.6p2 verfügbar, das am selben Tag erschienen ist. CSO Online identifiziert die Lücke als CVE-2026-123158.
Der Angriff erfordert weder das Erraten von Zugangsdaten noch Brute Force: Ein einziger Anmeldeversuch mit einem langen Passwort bei einem Konto, das niemals Passwörter akzeptieren sollte — etwa dem Benutzer root oder reinen SSH-Schlüsselkonten — genügt.
Wie die OpenSSH-Lücke funktioniert
Das Problem entsteht aus der Kombination dreier alter Entscheidungen. Im Jahr 2012 begrenzten die musl-Entwickler Passwörter auf 256 Byte, um Denial-of-Service-Angriffe mit langsamen SHA-512-Hashes zu verhindern — und ließen die Funktion crypt() ein Sternchen (*) zurückgeben, wenn sie keinen Hash berechnen kann. Im Jahr 2016 begann OpenSSH, das Salt eines anderen Kontos zu „leihen“, um die Passwortprüfung nichtexistenter Benutzer zu simulieren, als Abwehr gegen die Aufzählung von Benutzernamen (CVE-2016-6210). Und passwortlose Konten tragen genau ein Sternchen im Passwortfeld der Datei /etc/shadow.
Wenn ein Angreifer ein Passwort mit mehr als 256 Zeichen an eines dieser Konten sendet, scheitert musl an der Hash-Berechnung und gibt * zurück — was mit dem gespeicherten Sternchen übereinstimmt. Der Server schließt daraus, dass das Passwort korrekt ist, und gewährt Zugriff.
Wer betroffen ist
Ein Angreifer kann die OpenSSH-Lücke nur ausnutzen, wenn alle diese Bedingungen zusammenkommen: Das System verwendet musl (wie Alpine Linux, das in Docker-Containern und in der Cloud weit verbreitet ist); OpenSSH läuft ohne das PAM-Modul; die Passwortauthentifizierung ist aktiviert; es gibt ein Konto mit Sternchen im Passwortfeld; und es gibt ein weiteres Konto mit einem gültigen Passwort-Hash ($5$ oder $6$), von dem das Salt geliehen wird.
Der schwerwiegendste Fall betrifft die offiziellen Cloud-Images von Alpine Linux, Versionen 3.18.11 bis 3.24.3: Dort hat der Standardbenutzer alpine passwortlose doas-Berechtigung — das schlanke Gegenstück zu sudo. Wer sich als alpine anmeldet, kann mit einem einzigen Befehl root werden. Die direkte Root-Anmeldung bleibt durch die Standardeinstellung PermitRootLogin prohibit-password begrenzt, doch dieser Weg umgeht den Schutz.
Beliebte Distributionen wie Debian, Ubuntu und Fedora sind nicht betroffen, da sie glibc statt musl verwenden. Es gibt keine Hinweise darauf, dass verwundbare Systeme bereits ausgenutzt wurden, so The Register.
Die Korrektur und was zu tun ist
OpenSSH 10.6p2, erschienen am 5. November, behebt die OpenSSH-Lücke, und Alpine hat korrigierte Pakete für alle Versionen seit 3.16 veröffentlicht. Wer Alpine-Server betreibt, sollte so schnell wie möglich aktualisieren. Wer nicht aktualisieren kann, sollte die Passwortauthentifizierung in OpenSSH deaktivieren und den Daemon neu starten, um nur noch SSH-Schlüssel zu verwenden. Der Forscher hat außerdem einen einfachen Befehl veröffentlicht, mit dem sich prüfen lässt, ob ein passwortloses Konto kürzlich eine Passwortanmeldung erhalten hat.
Bildnachweis: Alpine-Linux-Logo, via Wikimedia Commons.
Quellen
- The Register — Get root on a musl Linux system by slamming it with an overly long password
- CSO Online — OpenSSH flaw lets attackers access password-disabled accounts on some Linux systems
- sshhole.com — technische Analyse von Özgün Kültekin (Wakefield)
Transparenz: Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt und mit öffentlichen Beiträgen und Quellen aus dem Internet abgeglichen. Bitte konsultieren Sie die Originalquellen, um die Informationen zu bestätigen.
Muse
