Chyba OpenSSH na Alpine Linuxe: ako preveriť firemné servery

Čo sa stalo 5. a 6. novembra

Projekt OpenSSH vydal 5. novembra 2026 verziu 10.6p2. V ten istý deň Alpine Linux zverejnil bezpečnostné upozornenie a sprístupnil opravené balíky. Chyba s označením CVE-2026-123158, známa aj ako SSHole, zasahuje serverovú službu sshd na niektorých linuxových systémoch s knižnicou musl, ktoré overujú heslá bez PAM. Za určitých podmienok sa útočník môže prihlásiť do účtu bez znalosti hesla alebo držby jeho SSH kľúča. [1] [2]

Prvé pokusy zachytené senzormi Previdian sú datované na 6. novembra 2026 UTC. V ten deň zakladateľ firmy Ryan Dewhurst pre Help Net Security uviedol, že na jednom návnadovom serveri s Alpine Linuxom útočník získal oprávnenia správcu systému, teda root. Návnadový server je systém zámerne vystavený na pozorovanie útokov. Správa potvrdzuje praktickú zneužiteľnosť, pričom rozsah prípadných prienikov do produkčných systémov na Slovensku alebo v Česku zostáva neznámy. [3] [4]

Ktoré servery a účty preveriť

Začnite pri strojoch, na ktoré sa cez SSH prihlasujú správcovia alebo nasadzovacie procesy. Typickým príkladom je Alpine virtuálny server v cloude, brána pre správu ďalších systémov alebo kontajner, v ktorom skutočne beží sshd. Podľa Alpine Linux sa pri tejto chybe musí stretnúť niekoľko podmienok. [2]

• Útočník sa vie pripojiť k zraniteľnej službe. Skontrolujte verejné IP adresy, pravidlá firewallu a cloudové bezpečnostné skupiny. Pri internom SSH zohľadnite, ktoré siete, VPN a dodávatelia k nemu majú prístup.
• Server používa musl a heslá overuje bez PAM. To zahŕňa štandardný balík openssh-server v Alpine aj variant s podporou PAM, ak je PAM vypnuté. Overte stav opravy podľa verzie balíka konkrétnej distribúcie.
• Server povoľuje prihlásenie heslom. Zaujíma vás účinné nastavenie PasswordAuthentication vrátane pravidiel Match, ktoré sa môžu líšiť podľa účtu alebo zdrojovej adresy.
• Na stroji existuje vhodná kombinácia účtov. Cieľový účet má v poli hesla znak * a ďalší lokálny účet má hash typu $5$ alebo $6$. Chyba vzniká, keď server zamení chybový výsledok pri výpočte hashu za hodnotu uloženú pre cieľový účet.

Pri niektorých oficiálnych cloudových obrazoch Alpine s tiny-cloud môže účet alpine získať root cez doas bez ďalšieho hesla. Samotná zmena obrazu pre nové servery preto nestačí. Preverte aj už bežiace inštancie a účty, ktoré na nich vznikli po nasadení. Kontajner bez bežiaceho sshd cez túto chybu zasiahnutý nie je. Red Hat potvrdil, že jeho produkty táto konkrétna chyba nezasahuje. [2] [5]

Ako nasadiť opravu a udržať prístup

1. Obmedzte dostupnosť SSH. Ak má byť služba prístupná iba správcom, povoľte ju cez správcovskú VPN alebo z dôveryhodných adries. Pred zmenou si overte prístup cez cloudovú konzolu alebo inú nezávislú cestu, aby ste sa zo servera nevymkli.
2. Nainštalujte opravený balík a reštartujte sshd. Alpine vydal opravy aj pre stabilné vetvy, ktoré majú nižšie číslo verzie než 10.6p2. Napríklad vetva 3.24 má opravu v balíku 10.3_p1-r2. Riaďte sa tabuľkou vo varovaní Alpine. Samotná inštalácia balíka nevymení už bežiaci proces. Po reštarte otestujte nové prihlásenie z povolenej siete. [2]
3. Ak aktualizácia musí počkať, vypnite prihlasovanie heslom. Najprv otestujte prihlásenie kľúčom. Upravte PasswordAuthentication na no, overte konfiguráciu pomocou sshd -t, reštartujte službu a overte účinné nastavenie aj pre dotknuté účty. Pri testovaní nechajte pôvodnú reláciu otvorenú. [2]

Ak spravujete viac inštancií, urobte si zoznam s názvom stroja, jeho vlastníkom, verziou balíka a časom reštartu. Pri kritickej službe, ktorá beží na viacerých uzloch, postupujte po jednom a po každej zmene overte zdravie služby aj správcovský prístup. Pri spravovanom hostingu si od dodávateľa vypýtajte potvrdenie o oprave a reštarte konkrétnych inštancií. Pre budúce nasadenia upravte aj základný obraz alebo zostavovací postup. Inak môže automatické škálovanie či obnova spustiť ďalší server so starým balíkom.

Ako preveriť, či sa už niekto prihlásil

V lokálnych aj centrálnych záznamoch SSH hľadajte Accepted password for pri účtoch, ktoré nemajú použiteľné heslo. Skontrolujte využitie doas, zmeny v súboroch authorized_keys a nové účty. Podľa možností porovnajte časy prihlásení so zmenami vo firewalle a cloudových auditných záznamoch. Kontrolu začnite od obdobia, keď bol zraniteľný server dostupný, aj keď prvá verejná správa o pokusoch prišla až 6. novembra. [2] [3]

Ak nájdete podozrivé úspešné prihlásenie alebo pri vystavenom stroji nemáte dostatočné záznamy na vylúčenie prieniku, izolujte ho a uchovajte dostupné dôkazy. Z dôveryhodného systému zrušte alebo vymeňte prihlasovacie údaje a tokeny, ku ktorým mohol mať napadnutý účet prístup. Preverte aj ďalšie systémy, do ktorých sa z tohto stroja dalo dostať. Pri podozrení na získanie práv root pripravte obnovu z dôveryhodného obrazu a overenej zálohy. Oprava zraniteľnosti uzavrie cestu ďalšiemu zneužitiu, no existujúce zmeny útočníka musí vyriešiť vyšetrovanie a obnova.

Čo má IT tím urobiť dnes

• Spísať dostupné SSH služby na Alpine a ďalších systémoch s musl.
• Nasadiť opravený balík, reštartovať službu a overiť nové prihlásenie.
• Preveriť záznamy a opraviť aj obrazy, z ktorých vznikajú nové inštancie.