सुरक्षा6 नव॰ 2026, 9:07 pm UTC·2 मिनट में पढ़ें

OpenSSH की खामी: 257 अक्षरों के पासवर्ड से खुलते थे लॉक अकाउंट

दस साल पुराने बग *sshole के कारण musl आधारित Linux सिस्टम पर 257 से 1,024 अक्षरों का कोई भी पासवर्ड लॉक अकाउंट खोल देता था। OpenSSH 10.6p2 में सुधार आया है।

Terminal window showing an SSH login prompt on a Linux server with a very long password being typed. — छवि: Numerama

musl लाइब्रेरी पर चलने वाले कुछ Linux सर्वरों पर OpenSSH के ज़रिए लॉक किया गया अकाउंट भी खोला जा सकता था। इसके लिए 257 से 1,024 अक्षरों का कोई भी पासवर्ड काफ़ी था। यह खामी 2016 से मौजूद थी और जहाँ तक जानकारी है, दस साल से ज़्यादा समय तक किसी की नज़र में नहीं आई। OpenSSH 10.6p2 में इसे ठीक कर दिया गया है।

इसका खुलासा नवंबर की शुरुआत में Wakefield के शोधकर्ता Ozgun Kultekin ने किया। इसे "sshole" नाम दिया गया है, जिसमें SSH और "hole" का शब्द-खेल है। तारांकन () इस खामी की जड़ में भी है। शोधकर्ता के मुताबिक उन्होंने OpenSSH को बारह अलग तरीकों से कंपाइल किया और हर संस्करण पर लगभग 17,600 असामान्य लॉगिन प्रयास आज़माए, जो AI एजेंटों से तैयार किए गए थे। सिर्फ़ एक कॉन्फ़िगरेशन का व्यवहार बाकियों से अलग निकला।

तारांकन ही ताला भी, और त्रुटि संदेश भी

यूनिक्स की परंपरा में, जिन अकाउंट पर पासवर्ड नहीं चलना चाहिए, उनके पासवर्ड हैश की जगह सिर्फ़ "" दर्ज किया जाता है, क्योंकि कोई गणना यह नतीजा नहीं दे सकती। लेकिन 2012 से musl की हैशिंग फ़ंक्शन विफल होने पर खुद भी "" लौटाती है, और पासवर्ड 256 अक्षरों से लंबा होते ही वह विफल हो जाती है।

2016 में OpenSSH ने एक दूसरी कमी दूर की: अस्तित्वहीन अकाउंट पर जवाब तुरंत आ जाता था, जिससे प्रतिक्रिया समय नापकर असली अकाउंट पहचाने जा सकते थे। इसे रोकने के लिए OpenSSH लॉक अकाउंट पर भी हैश गणना करने लगा। लंबे पासवर्ड पर गणना विफल होकर "" देती थी, जो अकाउंट के संग्रहीत "" से मेल खा जाता था, और लॉगिन स्वीकार हो जाता था।

किन सिस्टम पर ख़तरा

खतरे के लिए कई शर्तें एक साथ पूरी होनी चाहिए: सर्वर musl पर आधारित हो (Alpine Linux, OpenWrt, Buildroot, Yocto), PAM का उपयोग न हो, पासवर्ड लॉगिन चालू हो, और एक "*" से लॉक अकाउंट के साथ असली पासवर्ड वाला दूसरा अकाउंट मौजूद हो। Alpine 3.16 (2022) से root इसी तरह लॉक है। AWS और Azure की आधिकारिक Alpine इमेज में डिफ़ॉल्ट अकाउंट बिना पासवर्ड के एडमिनिस्ट्रेटर भी बन सकता है।

Debian, Ubuntu, Fedora और PAM वाले सिस्टम प्रभावित नहीं हैं। शोधकर्ता को किसी सक्रिय दुरुपयोग की जानकारी नहीं है। प्रभावित एडमिन OpenSSH 10.6p2 लगाएँ, जो 5 नवंबर को जारी हुआ, या अपडेट न हो पाने पर पासवर्ड लॉगिन बंद करें।