सुरक्षा7 नव॰ 2026, 3:01 am UTC·2 मिनट में पढ़ें

sshole: Alpine Linux पर OpenSSH की खामी, बिना पासवर्ड लॉगिन

एक दशक पुरानी खामी sshole (CVE-2026-123158) से हमलावर Alpine Linux के कुछ अकाउंट में बिना वैध पासवर्ड रिमोट लॉगिन कर सकते हैं। पैच जारी हो चुके हैं।

Terminal window showing an SSH login prompt on a Linux server with a padlock icon overlaid — छवि: xataka.com

सुरक्षा शोधकर्ताओं ने OpenSSH से जुड़ी एक ऐसी कमजोरी उजागर की है, जिसके जरिए कुछ Linux सिस्टम में बिना सही पासवर्ड जाने रिमोट लॉगिन संभव है। इसे sshole नाम दिया गया है और इसका आईडी CVE-2026-123158 है। पुष्टि Alpine Linux के उन सेटअप में हुई है जो OpenSSH को musl लाइब्रेरी के साथ और PAM के बिना चलाते हैं। समान शर्तें पूरी होने पर दूसरे प्लेटफॉर्म भी प्रभावित हो सकते हैं।

खामी Wakefield के शोधकर्ता Özgün Kültekin ने खोजी। 5 नवंबर को OpenSSH और Alpine दोनों ने इसके सुधार जारी किए।

पासवर्ड जो कभी चलना नहीं चाहिए था

Linux में /etc/shadow फाइल पासवर्ड जांचने की जानकारी रखती है। किसी अकाउंट के फील्ड में तारा चिह्न (*) हो, तो सामान्य पासवर्ड लॉगिन बंद माना जाता है, जबकि SSH कुंजियों जैसे अन्य तरीके चल सकते हैं। Kültekin के अनुसार दिक्कत तब आती है जब OpenSSH ऐसे अकाउंट के लिए पासवर्ड जांचता है। जरूरी डेटा न मिलने पर वह किसी दूसरे अकाउंट की जानकारी से जांच करता है। अगर दिया गया पासवर्ड 257 से 1,024 बाइट का हो, तो musl का फंक्शन त्रुटि दर्शाने के लिए * लौटाता है। सुरक्षित अकाउंट में भी यही चिह्न है, इसलिए सर्वर दोनों को मेल खाता मान लेता है और एक्सेस दे देता है।

इसकी जड़ें पुरानी हैं। 2012 में musl ने त्रुटियां बताने का तरीका बदला और DoS हमले रोकने के लिए पासवर्ड की लंबाई सीमा तय की। 2016 में OpenSSH ने जवाब के समय से यूज़र की मौजूदगी पता चलने से रोकने के बदलाव किए। 2022 में Alpine ने एडमिन अकाउंट की कॉन्फ़िगरेशन SSH कुंजियों के लिए बदली। अलग-अलग समस्याओं के ये हल आपस में अनपेक्षित ढंग से टकरा गए।

कौन प्रभावित है

Alpine इस्तेमाल करना अपने आप में जोखिम नहीं है। Check Point के मुताबिक OpenSSH का PAM के बिना चलना, पासवर्ड स्वीकार करना और * वाला अकाउंट मिलना जरूरी है। साथ ही SHA-256 या SHA-512 हैश वाला कोई दूसरा सक्रिय लोकल अकाउंट भी चाहिए। पासवर्ड लॉगिन बंद करने वाले या PAM इस्तेमाल करने वाले सिस्टम सुरक्षित हैं।

उच्च अधिकार वाले अकाउंट पर असर गंभीर हो सकता है। Alpine के उदाहरण में कुछ आधिकारिक क्लाउड इमेज में alpine यूज़र doas से बिना पासवर्ड एडमिन कमांड चला सकता है। ये इमेज पहली बार सुरक्षित हैं, पर बाद में संगत हैश वाला अकाउंट जोड़ने पर असुरक्षित हो सकती हैं। Previdian ने एक ही IP से आठ कोशिशें देखने और अपने हनीपॉट सर्वर पर एडमिन-स्तर की पहुंच की पुष्टि का दावा किया है।

OpenSSH ने 10.6p2 जारी किया है और Alpine ने कुछ पुरानी शाखाओं समेत अपडेट दिए हैं। पैच के बाद SSH सेवा रीस्टार्ट करना जरूरी है। अपडेट संभव न हो तो पहले कुंजी-आधारित लॉगिन जांचें, फिर पासवर्ड ऑथेंटिकेशन बंद कर सेवा रीस्टार्ट करें।