الأمن السيبراني06‏/11‏/2026، 9:07 م UTC·2 دقائق قراءة

ثغرة OpenSSH: كلمة مرور من 257 حرفًا تفتح حسابات لينكس المقفلة

ثغرة عمرها عقد تُدعى *sshole سمحت بفتح حسابات مقفلة عبر OpenSSH بكلمة مرور من 257 إلى 1024 حرفًا على أنظمة لينكس المعتمدة على musl. الإصلاح في 10.6p2.

Terminal window showing an SSH login prompt on a Linux server with a very long password being typed. — الصورة: Numerama

كشف باحث أمني عن ثغرة في OpenSSH تتيح، على بعض أنظمة لينكس، تجاوز قفل الحساب بكلمة مرور تتجاوز 256 حرفًا. فمنذ عام 2016 كان بالإمكان فتح حساب مقفل بأي كلمة مرور يتراوح طولها بين 257 و1024 حرفًا. وصدر الإصلاح ضمن الإصدار OpenSSH 10.6p2 يوم الخميس 5 نوفمبر.

أعلن عن الثغرة، المسماة «*sshole»، في مطلع نوفمبر أوزغون كولتيكين، الباحث في شركة Wakefield. والاسم تلاعب لفظي يجمع SSH بكلمة «hole» الإنجليزية (ثغرة)، فيما يقع رمز النجمة في صميم الخلل. ويقول الباحث إنه جمّع OpenSSH بإثنتي عشرة طريقة، وعرّض كل نسخة لنحو 17600 محاولة دخول غير معتادة ولّدتها وكلاء ذكاء اصطناعي، فاختلف سلوك إعداد واحد فقط.

نجمة تعمل قفلًا ورسالة خطأ معًا

لا يقارن الخادم كلمة المرور كما هي، بل يمرّرها عبر دالة رياضية ثم يقارن الناتج بالقيمة المحفوظة. أما الحسابات التي يجب ألا تقبل كلمة مرور، فتقضي تقاليد يونكس منذ عام 1980 بتخزين نجمة (*) لا يمكن لأي حساب أن ينتجها.

وفي عام 2012 غيّرت مكتبة musl سلوكها: فعند فشل دالة الحساب تعيد هي أيضًا نجمة، وتفشل الدالة تحديدًا عندما تتجاوز كلمة المرور 256 حرفًا. وفي عام 2016 بدأ OpenSSH بإجراء الحساب حتى للحسابات المقفلة، كي لا يكشف اختلاف زمن الاستجابة عن الحسابات الموجودة. فصارت النجمة الناتجة عن الفشل تطابق النجمة المخزنة، فيُقبل الدخول. ويرفض OpenSSH منذ 2016 كلمات المرور التي تزيد على 1024 حرفًا.

من المعرّض للخطر

يلزم توفر عدة شروط: نظام يعتمد musl (مثل Alpine Linux الشائع في حاويات Docker، وكذلك OpenWrt وBuildroot وYocto)، وعدم استخدام PAM، وتفعيل الدخول بكلمة المرور وهو الوضع الافتراضي في OpenSSH، ووجود حساب مقفل بنجمة إلى جانب حساب بكلمة مرور حقيقية. ومنذ Alpine 3.16 عام 2022 يُقفل حساب root بهذه الطريقة. وفي صور Alpine الرسمية على AWS وAzure قد يصبح الحساب الافتراضي مسؤولًا دون كلمة مرور.

لا تتأثر Debian وUbuntu وFedora والأنظمة التي تستخدم PAM. ويقول الباحث إنه لا يعلم بوجود استغلال فعلي للثغرة. وعلى المسؤولين تثبيت OpenSSH 10.6p2، أو تعطيل الدخول بكلمة المرور إن تعذر ذلك.