sshhole: musl Linux पर OpenSSH की गंभीर खामी, लंबा पासवर्ड चला
sshhole नाम की गंभीर OpenSSH खामी 2016 से musl-आधारित Linux, जैसे Alpine, पर मौजूद है। बिना पासवर्ड वाले खाते 256 अक्षर से लंबा कोई भी पासवर्ड मान लेते हैं।
SUMO· नंबर पज़ल
Dialo· बोलकर भाषाएँ सीखें
ediviewer· EDI फ़ाइलें दस्तावेज़ की तरह पढ़ें
giftdetect· मिनटों में सही तोहफ़ाmusl लाइब्रेरी पर चलने वाले Linux सिस्टम में OpenSSH की एक गंभीर सुरक्षा खामी सामने आई है, जिसे sshhole नाम दिया गया है। यह खामी 2016 से मौजूद है। इसकी वजह से उन खातों तक पहुँच मिल सकती थी, जिन्हें पासवर्ड से सुरक्षित ही नहीं किया गया था।
ऐसे खाते, जिन्हें सामान्यतः पासवर्ड की ज़रूरत नहीं होती, 256 अक्षर से लंबा पासवर्ड मिलने पर उसे स्वीकार कर लेते थे। इनमें root, सिर्फ़ SSH कुंजी वाला डिप्लॉयमेंट यूज़र, LDAP यूज़र और AWS व Azure के Alpine इमेज का डिफ़ॉल्ट यूज़र शामिल हैं। Alpine, OpenWrt, Buildroot और Yocto के साथ-साथ कई Docker इमेज भी musl का इस्तेमाल करती हैं।
कौन प्रभावित है
खतरा तब बनता है, जब ये सभी शर्तें एक साथ पूरी हों:
- sshd musl वाले माहौल में चल रहा हो, जैसे Alpine, OpenWrt, Buildroot या Yocto।
- PAM इस्तेमाल न हो। Alpine में openssh-server का पैकेज डिफ़ॉल्ट रूप से बिना PAM के बना है, और कॉन्फ़िगरेशन में UsePAM no भी हो सकता है।
- पासवर्ड से लॉगिन की अनुमति हो, जो डिफ़ॉल्ट रूप से चालू रहती है।
- सिस्टम में किसी खाते का पासवर्ड * पर सेट हो और साथ में पूरे पासवर्ड वाला कोई दूसरा खाता भी हो।
इन हालात में * पासवर्ड वाला खाता 257 से 1024 अक्षर तक का कोई भी पासवर्ड स्वीकार कर लेता है।
AWS और Azure इमेज पर असर
AWS और Azure के आधिकारिक Alpine इमेज में डिफ़ॉल्ट यूज़र alpine की यही स्थिति है। यह यूज़र बिना पासवर्ड डाले doas के ज़रिए कमांड चला सकता है, यानी व्यवहार में उसके पास root जैसे अधिकार हैं।
Debian, Ubuntu, Fedora या glibc वाली किसी भी अन्य डिस्ट्रीब्यूशन पर यह खामी लागू नहीं होती। PAM कॉन्फ़िगर होने पर, या dropbear अथवा OpenBSD के OpenSSH का उपयोग करने पर भी सिस्टम सुरक्षित है।
खामी openssh 10.6p2 अपडेट में ठीक कर दी गई है। प्रभावित सिस्टम चलाने वाले एडमिन को यह अपडेट लगाना चाहिए।
देखने लायक ऐप्स
SUMO: नंबर पज़लसही खाने चुनें, जोड़ें, लक्ष्य तक पहुँचें। सीखना आसान, महारत मुश्किल। मुफ़्त, हर उम्र के लिए।
Dialo: बोलकर भाषाएँ सीखेंAI बातचीत साथी से बात करें; हर वाक्य सुधरकर आपकी भाषा में समझाया हुआ लौटता है। 9 भाषाएँ, A1 से C2 तक।
ediviewer: EDI फ़ाइलें दस्तावेज़ की तरह पढ़ेंEDIFACT और X12 संदेश खोलें, हर सेगमेंट की व्याख्या देखें, JSON/XML में बदलें, PDF और Excel में निर्यात करें। स्थानीय रूप से चलता है, कोई अपलोड नहीं।
giftdetect: मिनटों में सही तोहफ़ाचुनें किसके लिए, किस मौके पर और कैसा स्वभाव। सर्च इंजन स्थानीय दुकानों के उत्पाद विवरण पढ़कर सबसे उपयुक्त विकल्प ऊपर रखता है। मुफ़्त, बिना साइन-अप।
इसी दिन की और ख़बरें
सभी देखें →
ApplyNow डेटा लीक: जापान में 3.96 लाख लोगों की जानकारी उजागर
Chrome 157 में 213 सुरक्षा खामियां ठीक, 7 'क्रिटिकल' श्रेणी की
Claude Code के बैकग्राउंड सबएजेंट अब कम usage limit खर्च करेंगे
