OpenSSH'de musl sistemlerinde şifre girişini engellenmiş hesaplara sızmaya izin veren açık
CVE-2026-123158 olarak izlenen kusur, 256 bayttan uzun bir şifreyle şifre girişi kapalı Linux hesaplarına erişim sağlıyor; OpenSSH 10.6p2 sürümü açığı kapatıyor.
Araştırmacılar, *sshole adını verdikleri bir kusurun, şifre girişine izin verilmemesi gereken bazı Linux hesaplarına herkesin girmesine olanak tanıdığını bildirdi. Açık, 256 bayttan uzun bir şifre gönderilerek kullanılıyor. Etkilenen sistemler, musl tabanlı Linux dağıtımları: Alpine Linux, OpenWrt, Buildroot ve Yocto. Açık, PAM kullanılmadığında ve şifreyle girişe izin verildiğinde ortaya çıkıyor.
Kusurun kökü iki etkenin birleşmesinde yatıyor. OpenSSH'nin 2016'da yapılan bir değişikliği ile musl'ün crypt() fonksiyonunun hashleme başarısız olduğunda yıldız işareti (*) döndürmesi bir araya gelince, kilitli bir hesabın şifre alanındaki * değeri, döndürülen değerle eşleşiyor. Bir saldırgan, hesap adını ve 257 ila 1.024 bayt uzunluğunda bir şifre göndererek bunu tek denemede kullanabiliyor; tekrar deneme gerekmiyor.
OpenSSH geliştiricileri sorunu 10.6p2 sürümünde giderdi. Alpine Linux da düzeltilmiş paketleri yayımladı. Yamayı hemen uygulayamayan yöneticiler, PasswordAuthentication no ayarıyla SSH şifre doğrulamasını kapatıp servisi yeniden başlatabilir. Açık, CVSS 8.1 ile derecelendirildi.
Şimdiye kadar bu açığın kullanıldığına dair bir bildirim yok. Ancak araştırmacılar, tarama faaliyetlerinin kısa sürede başlamasını bekliyor; bu yüzden etkilenen sunucuların bir an önce güncellenmesi ya da şifre girişinin kapatılması öneriliyor.
Neden önemli
musl tabanlı dağıtımlarda, özellikle Alpine, OpenWrt ve gömülü sistemlerde çalışan SSH sunucularını yöneten herkes bu açıktan doğrudan etkilenebilir. Sunucu sürümünü ve PAM kullanımını kontrol etmek, yamalı pakete geçmek ya da yamayı beklerken şifre doğrulamasını kapatmak şimdi öncelikli iş. Açık henüz aktif olarak sömürülmüş görünmüyor, ancak tarama dalgasının başlamasıyla birlikte savunmasız sunucuların hızla hedef alınması bekleniyor.
Önemli mi, abartı mı?
Bu haber gerçekten önemli mi, yoksa abartı mı? Başkalarının ne dediğini görmeden önce sen oy ver.