sshhole: ثغرة في OpenSSH على لينكس musl تتيح دخول الحسابات بلا كلمة مرور
ثغرة حرجة باسم sshhole في OpenSSH موجودة منذ 2016 على أنظمة لينكس المعتمدة على musl مثل Alpine، تقبل أي كلمة مرور يزيد طولها على 256 حرفًا.
SUMO· لغز الأرقام
Dialo· تعلّم اللغات بالتحدث
ediviewer· اقرأ ملفات EDI كالمستندات
giftdetect· الهدية المناسبة في دقائقكُشف عن ثغرة حرجة تحمل اسم sshhole في OpenSSH على أنظمة لينكس التي تعتمد مكتبة musl. وتعود الثغرة إلى عام 2016، وتتيح الدخول إلى الحسابات غير المحمية بكلمة مرور عند إدخال أي كلمة مرور يتراوح طولها بين 257 و1024 حرفًا.
وتشمل المشكلة أنظمة Alpine وOpenWrt وBuildroot وYocto، إضافة إلى عدد كبير من صور Docker. فالحسابات التي يكون حقل كلمة المرور فيها رمز * ، مثل المستخدمين الذين يعتمدون على مفاتيح SSH فقط أو مستخدمي LDAP أو حساب root في Alpine، تصبح قادرة على قبول أي كلمة مرور بهذا الطول.
من المتأثر؟
يكون النظام عرضة للخطر عند توافر جميع الشروط التالية معًا:
- يعمل sshd في بيئة تعتمد musl (مثل Alpine أو OpenWrt أو Buildroot أو Yocto)؛
- لا يُستخدم PAM (فحزمة openssh-server في Alpine مضبوطة افتراضيًا بدونه، أو أن الإعدادات تتضمن UsePAM no)؛
- الدخول بكلمة المرور مسموح، وهو الإعداد الافتراضي؛
- يوجد في النظام حساب كلمة مروره *؛
- يوجد في النظام حساب آخر بكلمة مرور فعلية.
وفي صور Alpine الرسمية الخاصة بـ AWS وAzure ينطبق هذا الإعداد على المستخدم الافتراضي alpine، وهو يستطيع تنفيذ الأوامر عبر doas دون كلمة مرور، ما يمنحه عمليًا صلاحيات root.
من هو بمأمن؟
لا يتأثر مستخدمو Debian وUbuntu وFedora وغيرها من التوزيعات المعتمدة على glibc. كما تبقى الأنظمة المضبوطة على PAM آمنة، وكذلك من يستخدم dropbear أو نسخة OpenSSH الخاصة بـ OpenBSD.
وقد عولجت المشكلة في تحديث openssh 10.6p2. وعلى مديري الأنظمة المعتمدة على musl، وخصوصًا نسخ Alpine السحابية والحاويات، تثبيت الإصلاح في أقرب وقت.
تطبيقات تستحق النظر
SUMO: لغز الأرقاماختر المربعات الصحيحة واجمعها وحقّق الهدف. سهل التعلم، صعب الإتقان. مجاني، لجميع الأعمار.
Dialo: تعلّم اللغات بالتحدثتحدّث مع شريك محادثة بالذكاء الاصطناعي؛ تعود كل جملة مصحّحة ومشروحة بلغتك. 9 لغات، من A1 إلى C2.
ediviewer: اقرأ ملفات EDI كالمستنداتافتح رسائل EDIFACT وX12 مع شرح كل مقطع، وحوّلها إلى JSON/XML، وصدّرها إلى PDF وExcel. يعمل محليًا دون رفع.
giftdetect: الهدية المناسبة في دقائقاختر لمن الهدية والمناسبة والشخصية. يقرأ محرك البحث أوصاف المنتجات من المتاجر المحلية ويرتّب ما يناسب. مجاني، بلا تسجيل.
المزيد من هذا اليوم
عرض الكل →
ApplyNow: تسرب بيانات 396,920 شخصاً بسبب ثغرة معروفة لم تُصلَح
Chrome 157 يسد 213 ثغرة أمنية بينها 7 ثغرات حرجة
Claude Code: الوكلاء الفرعيون في الخلفية يستهلكون حد الاستخدام بدرجة أقل
