TL;DR: Das Wichtigste
- OpenSSH wendet diese fehlerhafte Überprüfung ausschliesslich auf Linux-Distributionen an, die keine PAM-Module enthalten, wie beispielsweise Alpine Linux oder OpenWrt.
- Die betroffenen Konten sind in der Authentifizierungsdatei mit einem einfachen Stern gekennzeichnet, wodurch Verbindungen per Passwort normalerweise verhindert werden.
- Das Senden einer Zeichenkette, die 256 Byte überschreitet, löst eine Reaktion aus, die mit diesem Stern identisch ist, und gewährt sofort Zugriff auf das Remote-System.
Angreifer nutzen aktiv die kritische SSHole-Sicherheitslücke in OpenSSH aus, um Zugriff auf Linux-Konten zu erlangen, die eigentlich ohne Passwort konfiguriert sind, wie The Hacker News berichtet. Die im November 2026 entdeckte Schwachstelle, die unter der Kennung CVE-2026-123158 erfasst ist, geht auf das Jahr 2016 zurück. Sie ist auf einen älteren Patch zurückzuführen, der die Aufzählung von Benutzernamen verhindern sollte. Um zu verhindern, dass die Existenz eines Kontos durch Unterschiede in der Verarbeitungszeit offenbart wird, berechnete der Server einen Fingerabdruck, selbst wenn das Konto Verbindungen blockierte. Die betroffenen Systeme kombinieren OpenSSH, die musl-Bibliothek und eine Konfiguration ohne PAM-Module. Auch Distributionen wie Buildroot oder Yocto basieren auf dieser technischen Grundlage.
Die musl-Bibliothek dient als ressourcenschonende Alternative zur Standard-Softwarebibliothek des Betriebssystems und wird häufig in kompakten Umgebungen und Containern integriert. Das Problem liegt in der internen Funktionsweise ihrer Passwortverschlüsselungsfunktion. Wenn eine übermittelte Zeichenkette 256 Byte überschreitet, schlägt diese Funktion fehl und gibt standardmässig ein Sternchen zurück. Administratoren tragen jedoch genau dieses Sternchen in die Konfigurationsdatei ein, um den passwortbasierten Zugriff für Konten zu sperren, die Zugriffsschlüssel verwenden. OpenSSH vergleicht dann, wie Slashdot ausführlich beschreibt, das durch den Fehler zurückgegebene Sternchen mit dem im System gespeicherten Sternchen. Diese Übereinstimmung genehmigt den Zugriff bereits beim ersten Versuch, ohne dass dadurch die durch ein herkömmliches Passwort geschützten Konten beeinträchtigt werden.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Laut den von Ars Technica berichteten Analysen setzt der Angriff zudem voraus, dass auf dem System mindestens ein aktives Konto vorhanden ist, dessen Passwort die Funktionen SHA256 oder SHA512 verwendet. Während das direkte Administratorkonto unter den ursprünglichen Einstellungen geschützt bleibt, ermöglicht ein Zwischenkonto mit erweiterten Rechten die Erlangung der vollständigen Kontrolle. Administratoren, die das Update nicht sofort installieren können, sollten die Passwortauthentifizierung in den Einstellungen des SSH-Servers deaktivieren. Durch die Überprüfung der Authentifizierungsprotokolle lassen sich zudem erfolgreiche Passwort-Anmeldungen bei diesen spezifischen Konten identifizieren.
Hat Ihnen der Beitrag geholfen?
Ein Kaffee ist ein einfaches Dankeschön für das Monitoring. Ohne Abo, ohne Verpflichtung.
