מפתחי OpenSSH, התוכנה שבאמצעותה מתחברים מרחוק לרוב השרתים בעולם, שחררו עדכון אבטחה דחוף לחולשה שזכתה לכינוי SSHole. החולשה מאפשרת, בתנאים מסוימים, להתחבר לשרת בלי לדעת את הסיסמה. היא דורגה בחומרה גבוהה, והתיקון כלול בגרסה 10.6p2. לפי דיווחים בתקשורת הסייבר, תוקפים כבר מנסים לנצל אותה.
הבעיה לא נמצאת בדיוק ב-OpenSSH, אלא באינטראקציה שלו עם ספריית musl, ספרייה בסיסית שמשמשת חלק מהפצות הלינוקס במקום הספרייה הנפוצה יותר glibc. כש-OpenSSH בודק סיסמאות בעצמו, בלי מנגנון האימות PAM, סיסמה ארוכה במיוחד גורמת לפונקציית ההצפנה להיכשל ולהחזיר ערך שזהה לערך שמסמן חשבון נעול. התוצאה: השרת מקבל את התוקף, במקום לדחות אותו. כדי שהתקיפה תצליח צריכים להתקיים כמה תנאים, ובהם שהתחברות עם סיסמה מופעלת.
מי בסיכון? בעיקר מערכות שמבוססות על Alpine Linux, הפצה קלה ופופולרית מאוד כבסיס לקונטיינרים בענן, וגם מערכות כמו OpenWrt, שמשמשת נתבים וציוד רשת, ומערכות מותאמות שנבנות לציוד משובץ. הפצות מרכזיות כמו Debian, Ubuntu ו-Fedora, שמשתמשות ב-glibc, בדרך כלל לא מושפעות. Red Hat הודיעה שהמוצרים שלה לא מושפעים.
מה עושים? מעדכנים את OpenSSH לגרסה 10.6p2 או לחבילה המתוקנת של ההפצה ומפעילים מחדש את שירות ה-SSH. מי שלא יכול לעדכן מיד יכול לבטל התחברות עם סיסמה ולעבור למפתחות SSH, צעד שמומלץ ממילא. וכדאי לבדוק גם קונטיינרים: תמונת Alpine ישנה שרצה בייצור עם SSH פתוח היא בדיוק המטרה שהחולשה הזאת מחכה לה.
והלקח הרחב יותר: בעולם הקונטיינרים, ארגונים רבים לא יודעים בדיוק אילו גרסאות של אילו ספריות רצות אצלם. חולשה שתלויה בשילוב של ספרייה מסוימת והגדרה מסוימת היא תזכורת שרשימת רכיבים מעודכנת (SBOM) היא לא בירוקרטיה, אלא הדרך היחידה לענות מהר על השאלה "האם אנחנו חשופים".
