Alpine Linux'ta on yıllık açık, parolasız SSH girişine izin veriyor

Ana sayfa

Güvenlik

*sshole açığı, on yıllık bir zafiyetle Alpine Linux çalıştıran bazı cihazlara şifre girmeden SSH ile girilmesine izin veriyor.

06.11.2026 07:00 okunma

On yıldır var olan *sshole açığı, Alpine Linux çalıştıran bazı cihazlarda saldırganların SSH üzerinden şifre girmeden içeri sızmasına izin veriyor.

Açık OpenSSH ile hafif libc alternatifi musl'un birlikte, PAM olmadan kullanıldığı ve parola alanında "*" bulunan hesapların olduğu sistemleri etkiliyor.

Saldırı tek bağlantıyla ve her seferinde çalıştığı için sistem yöneticilerinin parolasız hesaplarını ve OpenSSH ayarlarını hemen gözden geçirmesi gerekiyor.

*sshole açığı, Alpine Linux çalıştıran bazı cihazlarda saldırganların şifre girmeden içeri sızmasına izin veriyor. On yıl önce ortaya çıkan zafiyet, diğer Linux dağıtımlarını da etkileyebilir. Ancak bunun için aynı yapılandırmanın kullanılması gerekiyor.

*sshole açığı nerede ortaya çıkıyor?

Zafiyet, OpenSSH ile musl arasındaki etkileşimde yer alıyor. Öncelikle bu iki ismi tanımak gerekir. OpenSSH, SSH bağlantılarını sağlayan kod kütüphanesidir. musl ise libc kütüphanesine hafif bir alternatiftir. Okunuşu "muscle" gibidir.

Çoğu Linux dağıtımı libc kullanır. Alpine ise musl'u tercih ediyor. Ayrıca Alpine, hafif ve yaygın kullanılan bir Linux dağıtımı olarak biliniyor. Bu yüzden *sshole açığı, özellikle bu dağıtımı çalıştıran sistemler için önem taşıyor.

Bununla birlikte musl kullanan OpenSSH'in PAM kullanmaması gerekiyor. PAM, kullanıcı doğrulamasını ve hesap erişim denetimlerini yöneten bir çerçevedir. Aynı zamanda aynı yapılandırmayı kullanan başka platformlar da etkilenebilir.

Saldırının şartları neler?

Başarılı bir saldırı için iki koşul daha gerekiyor. İlk olarak sistemde, parolayla erişilebilen en az bir kullanıcı hesabı olmalı. Bu parola ise SHA256 ya da SHA512 işleviyle özetlenmiş olmalı.

İkinci olarak hedef hesap parolasız yapılandırılmış olmalı. Bunun için parolaların özet değerlerini tutan /etc/shadow dosyasında parola alanına "*" yazılır. Böyle hesaplar çoğunlukla sertifika tabanlı kimlik doğrulama kullanır. Dolayısıyla bu ayar bazı hesap türlerinde yaygın.

OpenSSH ile musl birlikte kullanılmalı

OpenSSH, PAM kullanmamalı

SHA256 ya da SHA512 özetli parolası olan en az bir hesap bulunmalı

Hedef hesabın parola alanında "*" yazmalı

*sshole açığından etkilenenler ne yapmalı?

Saldırı tek bağlantıyla işe yarıyor ve her seferinde çalışıyor. Üstelik yeniden deneme gerektirmiyor. Bu nedenle risk, koşulları tam karşılayan sistemlerde ciddi boyuta ulaşabilir.

Etkilenen yapılandırmayı kullanan sistem yöneticileri, parolasız hesaplarını ve OpenSSH ayarlarını gözden geçirmeli. Özellikle Alpine Linux çalıştıran cihazlarda bu kontrol önem taşıyor, çünkü zafiyet on yıldır sistemde bulunuyor.

Haberde hata mı var?Bize bildirin

Senin fikrin ne?

Sen olsan, sunucunda kimlik doğrulamayı gözden geçirmek için hangi adımı ilk atardın?

Yorumlar

İlk yorumu siz yazın.