LONDON (IT BOLTWISE) – Eine alte Sicherheitslücke in bestimmten Alpine-Konfigurationen erlaubt Angreifern, sich ohne Passwort per SSH einzuloggen. Die Ursache liegt im Zusammenspiel von OpenSSH, der musl-C-Library und einer Konstellation ohne PAM. Für erfolgreiche Zugriffe braucht das System ein Konto mit SHA256- oder SHA512-gespeicherten Passwort-Hashes und ein weiteres Shadow-Setup, das das Konto als passwortlos markiert. Das Update von OpenSSH sowie die Aktualisierung von Alpine werden als Sofortmaßnahmen empfohlen.
Hinter dem Namen *sshole steckt eine Lücke, die vor allem für Betreiber von leichtgewichtigen Linux-Systemen brisant ist: Unter bestimmten Konfigurationen von Alpine Linux können Angreifer über den SSH-Port 22 eine Session aufbauen, ohne ein Passwort zu kennen. Der Kern des Problems liegt nicht in einer „vergessenen“ Passwortprüfung auf hoher Ebene, sondern in der konkreten Art, wie OpenSSH auf die C-Run-Time trifft und wie Authentifizierungsdaten intern verarbeitet werden. Damit verschiebt sich der Blick von klassischen Credential-Mechanismen hin zu einer Mischung aus Bibliotheksauswahl (musl statt libc), Authentifizierungs-Frameworks (PAM ja/nein) und der Art, wie Konten in /etc/shadow markiert sind.
Technisch betrachtet entsteht die Angriffslogik aus dem Zusammenspiel von OpenSSH (genauer: den Funktionen in sshd, die SSH-Verbindungen abwickeln), der Bibliothek musl und der Abwesenheit von PAM. Die Meldung beschreibt explizit, dass OpenSSH in der musl-Variante kein PAM verwenden darf, damit die Voraussetzungen für die Ausnutzung stimmen. Zusätzlich wird ein „One-shot“-Verhalten betont: Wenn alle Bedingungen erfüllt sind, soll ein einzelner Verbindungsversuch ausreichen („works every time“), ohne dass wiederholte Versuche nötig sind. Praktisch heißt das für Verteidiger: Schon ein einzelner Scan, der Port 22 offen anzeigt, kann im Zusammenspiel mit einer schnellen Testlogik schnell zu erfolgreichen Ergebnissen führen.
Für den eigentlichen Zugriff nennt die Quelle zwei weitere Bedingungen. Erstens muss mindestens ein Benutzerkonto existieren, dessen Passwort-Hash mit SHA256 oder SHA512 erzeugt wurde. Zweitens muss dieses Zielkonto in /etc/shadow so konfiguriert sein, dass es „passwortlos“ ist – gekennzeichnet durch ein „*“ im Passwortfeld. Solche Konstellationen finden sich laut Darstellung häufig bei Konten, die stattdessen über Zertifikats- oder schlüsselbasierte Authentifizierung arbeiten. Sobald die Lücke greift, kann ein Angreifer beim Log-in in das Passwortfeld mehr als 256 Zeichen eingeben; daraus resultiert dann der unautorisierte Zugang zu einem Konto, ohne das eigentliche Geheimnis offenzulegen.
Damit das nicht als generische SSH-Schwäche missverstanden wird: Nicht jede SSH-fähige Maschine ist automatisch betroffen. Eine Sicherheitsanalyse von Check Point wird in der Quelle dafür herangezogen, dass die Verwendung von SHA256 oder SHA512 relevant ist, weil sshd dabei den „Salt“ aus dem Kontoeintrag übernimmt; ohne diese passenden Hash-Funktionen soll der Angriff scheitern. Außerdem heißt es, dass das Konto aktiv sein muss – ein Hash allein reicht nicht. Interessant ist außerdem die Einordnung zu Root-Konten: Laut der angegebenen Darstellung gelten Root-Accounts unter einer Default-Absicherung („PermitRootLogin prohibit password“) als geschützt, auch wenn erreichbare Konten mit doas oder sudo-Rechten dennoch zur Root-Eskalation führen können. Der Markt- und Betriebsbezug ist deshalb klar: Selbst wenn der direkte Root-Login blockiert ist, können Umwege über privilegierte Rechte das Risiko real werden lassen.
In der Praxis könnte die Reichweite dennoch größer sein als bei einer seltenen Spezialdistribution. Die Quelle verweist darauf, dass der Docker Hub Base-Image für Alpine über 1 Milliarde Downloads erreicht hat und dass Alpine lange in Routern, Smart-TVs, industriellen Controllern und anderen Embedded-Systemen eingesetzt wurde. Gerade dort sind Updates oft schwierig oder gar nicht vorhanden. Zusätzlich wird genannt, dass neuere Nutzungsmuster Alpine auch in Desktop- und Server-Umgebungen sowie in vielen Container-Images bringen. Erschwerend kommt laut Detectify hinzu, dass weltweit etwa 22 Millionen Systeme mit offenem SSH auf Port 22 gelistet seien; nur ein Teil davon erfüllt die spezifischen Bedingungen für eine erfolgreiche Ausnutzung, aber die kombinierte Scan- und Testgeschwindigkeit macht das Szenario für Angreifer attraktiv.
Unklar bleibt in der Quelle, wo genau der Fehler „im Code“ sitzt: OpenSSH hat zwar ein Update veröffentlicht, sieht aber die Root Cause außerhalb von sshd – gleichzeitig sei die Schwachstelle über sshd ausnutzbar und dort auch vermeidbar. Dem gegenüber steht die musl-Seite: Der musl-Entwickler Rich Felker vertritt die Position, dass es sich nicht um einen Bug in musl handele, sondern um eine fehlerhafte Nutzung durch den „Caller“. Auch Felker verweist darauf, dass musl-Entwickler bereits länger Änderungen an dem Mechanismus geplant hätten. Parallel dazu hat auch Alpine ein Update herausgegeben. Für Betreiber ist das ein wichtiger Hinweis auf die richtige Reaktionsstrategie: Patchen Sie nicht nur „OpenSSH“, sondern halten Sie die ganze Zielkonstellation aus OpenSSH und der musl-basierten Distribution auf dem aktuellen Stand.
Die Empfehlung für die nächsten Schritte ist in der Meldung recht eindeutig formuliert: Jeder, der ein Linux-System nutzt, das sowohl musl als auch OpenSSH einsetzt, sollte umgehend untersuchen, ob die beschriebenen Bedingungen erfüllt sind, etwa durch eine gezielte Prüfung der /etc/shadow-Einträge und der Hash-Algorithmen für SSH-fähige Konten. Danach sollten sowohl die Patches für OpenSSH als auch die Aktualisierungen für Alpine auf allen betroffenen Systemen installiert werden. Eine CVE-Nummer wird für die Lücke in der Quelle nicht genannt, was die schnelle Zuordnung in Ticket-Systemen erschwert. Dennoch ist die technische Logik nachvollziehbar genug, um das Problem über Konfigurationschecks zu priorisieren – und damit die Zeit bis zur Wirksamkeit der Gegenmaßnahmen drastisch zu verkürzen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "*sshole: OpenSSH- und musl-Konstellation ermöglicht passwortloses SSH auf Linux" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "*sshole: OpenSSH- und musl-Konstellation ermöglicht passwortloses SSH auf Linux" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »*sshole: OpenSSH- und musl-Konstellation ermöglicht passwortloses SSH auf Linux« bei Google Deutschland suchen, bei Bing oder Google News!