OpenSSH açığı: 257 karakterlik parola kilitli Linux hesaplarını açtı

Hem kilit hem hata mesajı olan yıldız

Sunucu parolayı olduğu gibi karşılaştırmaz; matematiksel bir fonksiyondan geçirir ve sonucu kayıtlı değerle kıyaslar. Parola kabul etmemesi gereken hesaplarda ise 1980'den beri Unix geleneği, hiçbir hesaplamanın üretemeyeceği bir yıldız işaretinin (*) kaydedilmesidir.

2012'de musl, hesaplama fonksiyonu başarısız olduğunda kendisi de yıldız döndürmeye başladı; fonksiyon da tam olarak 256 karakteri aşan parolalarda başarısız oluyor. 2016'da OpenSSH, var olan hesapları süre ölçümüyle ayırt etmeyi önlemek için kilitli hesaplarda da hesaplama yapmaya başladı. Böylece kilitli hesapta fonksiyonun döndürdüğü yıldız, kayıtlı yıldızla eşleşiyor ve giriş kabul ediliyordu. OpenSSH 2016'dan beri 1.024 karakterden uzun parolaları reddediyor.

Kimler risk altında

Saldırının işe yaraması için birkaç koşul gerekiyor: sistemin musl kullanması (Docker konteynerlerinde yaygın Alpine Linux, ayrıca OpenWrt, Buildroot ve Yocto), PAM'in devre dışı olması, parolayla girişin açık olması (OpenSSH'de varsayılan) ve yıldızla kilitli bir hesabın yanında gerçek parolalı bir hesabın bulunması. Alpine 3.16'dan (2022) beri root bu şekilde kilitleniyor. AWS ve Azure'un resmî Alpine imajlarında varsayılan hesap ayrıca parolasız yönetici olabiliyor.

Debian, Ubuntu, Fedora ve PAM kullanan sistemler etkilenmiyor. Araştırmacı, aktif bir istismardan haberdar olmadığını belirtiyor. Yöneticilerin OpenSSH 10.6p2'yi kurması, bu mümkün değilse parolayla girişi kapatması gerekiyor.