Aktiva attacker utnyttjar kritisk OpenSSH-sårbarhet i musl-system

Hackare utnyttjar för närvarande sårbarheten CVE-2026-123158 i OpenSSH för att exekvera kommandon, stjäla inloggningsuppgifter och etablera långvarig åtkomst till Linux-system [https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/]. Flera säkerhetsföretag har bekräftat attackerna, som inleddes strax efter att en konceptbevis-exploit blev tillgänglig den 5 november.

Vad som hände

Sårbarheten, upptäckt av säkerhetsforskaren Ozgun Kultekin, möjliggör kringgående av autentisering i OpenSSH när det körs på Linux-system med musl libc, exempelvis den lättskurna distributionen Alpine Linux som är vanlig i moln- och container-miljöer [https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/].

Felen uppstår när ett konto har en lösenordsfält inställt på ett asterisk-tecken (*) för att förhindra inloggning med lösenord. Enligt Kultekin leder ett onödigt stort lösenordsförsök till att musls hash-funktion returnerar ett fel (asterisk), vilket OpenSSH misstolkar som en matchning med kontots lagrade värde. Det innebär att angripare kan logga in på dessa specifika konton även utan giltiga lösenord.

OpenSSH-underhållarna publicerade fixen i version 10.6p2 den 5 november, ungefär fyra timmar innan exploit-koden spreds [https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/].

Bekräftad aktivitet i vilt tillstånd

Det finländska säkerhetsföretaget Defused uppgav helgen den 5–6 november att de observerat "en liten mängd aktörer" som försökte utnyttja sårbarheten, även om aktiviteten inte var omfattande [https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/].

Threat-intelligence-firmans GreyNoise registrerade den första lyckade utnyttjandet i det fria den 7 november klockan 00:46 UTC, cirka 40 timmar efter fixens utgivning. Företaget loggade 16 lyckade exploit-kedjor riktade mot nätverk som skyddas av GreyNoise, från sex IP-adresser kopplade till post-exploitation-aktivitet [https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/].

I de attacker GreyNoise analyserade utförde gärningsmännen systemrekonnoisering, frågade cloud-metadata-tjänster, försökte läsa lösenords hashes och root-nycklar samt modifierade "authorized_keys"-filer för att behålla åtkomst. En angripare erhöll root-rättigheter och installerade TAC Agent, en Python-baserad kommando-och-kontroll-agent. Implantatet kunde dock inte nå sin C2-server och mottog inga uppgifter. GreyNoise noterar att kommentarer och felmeddelanden i implantatet var på kinesiska.

Återstående nätverksanalytiker Previdian bekräftade också lyckade utnyttjanden, med 20 försök från 13 IP-adresser i nio länder. Det offensiva säkerhetsföretaget watchTower rapporterade den 6 november om utnyttjande kopplat till botnät och kryptominering [https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/].

Rekommendationer för administratörer

Systemadministratörer uppmanas att uppdatera OpenSSH till version 10.6p2 eller nyare så snart som möjligt [https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/]. Som tillfällig åtgärd kan lösenordsautentisering för SSH inaktiveras på berörda system.

Det rekommenderas även att granska loggar för oväntade lyckade inloggningar på konton med asterisk i /etc/shadow, obehöriga SSH-nycklar och förekomst av TAC Agent-filer eller startup-tjänster [https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/]. Sårbarheten påverkar endast konton med inaktiverade lösenordsfält; konton med giltiga hash-värden är inte utsatta enligt beskrivningen av felet.