Osegi
Sicherheit·1 Min. Lesezeit

OpenSSH-Lücke: 257 Zeichen öffneten gesperrte Linux-Konten

Zehn Jahre lang konnte ein beliebiges Passwort mit 257 bis 1.024 Zeichen gesperrte Konten über OpenSSH öffnen. Betroffen sind musl-Systeme wie Alpine Linux.

Terminal window showing an SSH login prompt on a Linux server with a very long password being typed.
Bild: Numerama
SUMODialoediviewergiftdetect

Mehr als zehn Jahre lang blieb eine Sicherheitslücke in OpenSSH offenbar unbemerkt: Auf manchen Linux-Systemen ließ sich ein gesperrtes Konto mit einem beliebigen Passwort von 257 bis 1.024 Zeichen öffnen. Die Lücke mit dem Spitznamen „*sshole“ betrifft Systeme mit der Bibliothek musl, etwa Alpine Linux. OpenSSH 10.6p2 vom 5. November behebt sie.

Entdeckt hat sie Ozgun Kultekin, Forscher bei Wakefield. Nach eigenen Angaben kompilierte er OpenSSH auf zwölf verschiedene Arten und schickte jeder Variante rund 17.600 ungewöhnliche, von KI-Agenten erzeugte Anmeldeversuche. Nur eine Konfiguration reagierte anders als die übrigen.

Wie ein Sternchen zum Schlüssel wurde

Server vergleichen Passwörter nicht direkt. Sie schicken sie durch eine mathematische Funktion und vergleichen das Ergebnis mit dem gespeicherten Wert. Für Konten, die nie ein Passwort akzeptieren sollen, etwa root auf vielen Systemen, speichert man seit 1980 per Unix-Konvention ein einzelnes Sternchen, das keine Berechnung erzeugen kann.

2012 ließ musl seine Hash-Funktion bei einem Fehler ebenfalls ein Sternchen zurückgeben, und sie scheitert bei Passwörtern über 256 Zeichen. 2016 behob OpenSSH dann ein Timing-Leck, das verriet, welche Konten existieren. Um die Antwortzeiten anzugleichen, rechnet OpenSSH seither auch bei gesperrten Konten. Ein langes Passwort lieferte so ein Sternchen, das mit dem gespeicherten Sternchen übereinstimmte – der Login wurde akzeptiert.

Wer betroffen ist

Mehrere Bedingungen müssen zusammenkommen: Der Server nutzt musl (wie Alpine, OpenWrt, Buildroot und Yocto), verzichtet auf PAM, erlaubt Passwort-Anmeldung (OpenSSH-Standard) und hat ein per Sternchen gesperrtes Konto sowie ein weiteres mit echtem Passwort. Seit Alpine 3.16 aus dem Jahr 2022 wird root genau so gesperrt. Bei den offiziellen Alpine-Images für AWS und Azure kann das Standardkonto zudem ohne Passwort Administratorrechte erlangen.

Debian, Ubuntu, Fedora und andere PAM-Systeme sind nicht betroffen. Der Forscher kennt keine aktive Ausnutzung.

Administratoren sollten OpenSSH 10.6p2 installieren oder andernfalls die Passwort-Anmeldung abschalten.

Apps, die sich lohnen

SUMO: das Zahlenrätsel

Tippe die richtigen Felder, addiere, triff das Ziel. Leicht zu lernen, schwer zu meistern. Kostenlos, für jedes Alter.

Schlagwörter:opensshlinuxmuslalpine linuxvulnerabilitysshole

Mehr von diesem Tag

Alle anzeigen →

Mehr aus: Sicherheit

Alle anzeigen →