Kritieke OpenSSH-fout maakt wachtwoordloze accounts bereikbaar
Een kwetsbaarheid treft vooral specifieke Linux-installaties; OpenSSH heeft een beveiligingsupdate uitgebracht.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Hackers hebben misbruik gemaakt van een kritieke fout in OpenSSH waardoor zij onder voorwaarden kunnen inloggen op accounts zonder wachtwoord. De kwetsbaarheid zit vooral in systemen die Linux-distributies met musl gebruiken, zoals Alpine Linux, en waarvoor inmiddels een update beschikbaar is.
De fout zit in de controle van wachtwoorden door sshd, de servercomponent van OpenSSH. Volgens beveiligingsonderzoekers kan een aanvaller onder specifieke omstandigheden toegang krijgen tot een account dat geen wachtwoord heeft, wanneer op dezelfde machine ook een ander account met een wachtwoordhash staat.
De omstandigheden beperken de reikwijdte van het probleem. Volgens de beveiligingsadviezen moet onder meer wachtwoordaanmelding ingeschakeld zijn en moet de installatie OpenSSH zonder PAM gebruiken. De fout is daardoor niet automatisch aanwezig op iedere Linux-server met OpenSSH.
OpenSSH bracht versie 10.6p2 uit om het probleem te verhelpen. De release notes noemen een omzeiling van wachtwoordauthenticatie als reden voor de beveiligingswijziging. Ook Alpine Linux heeft bijgewerkte pakketten gepubliceerd voor getroffen versies.
Beveiligingsonderzoeker Özgün Kültekin meldde volgens Help Net Security dat kort na de openbaarmaking succesvolle toegang is gezien op een honeypot met Alpine Linux en OpenSSH. Cloudflare meldde dezelfde kwetsbaarheid, maar schreef dat OpenSSH en Alpine op 6 november nog geen bredere exploitatie hadden gemeld.
De naam ‘SSHole’ verwijst naar de manier waarop de fout ontstaat, niet naar een afzonderlijk product. Organisaties moeten eerst vaststellen of hun servers aan alle voorwaarden voldoen, maar systemen die mogelijk kwetsbaar zijn moeten volgens de beveiligingsadviezen zo snel mogelijk worden bijgewerkt of tijdelijk van wachtwoordaanmelding worden afgeschermd.
De kwetsbaarheid is vooral relevant voor cloudservers, netwerkapparatuur en kleine Linux-installaties die op musl zijn gebaseerd. Er is geen aanwijzing dat hierdoor alle wachtwoordloze accounts op afstand toegankelijk zijn; het risico hangt af van de configuratie van de server en de aanwezige accounts.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De technische voorwaarden, patch en meldingen over mogelijk misbruik zijn terug te voeren op OpenSSH en onafhankelijke beveiligingsbronnen. De tekst maakt duidelijk dat de fout niet iedere OpenSSH-installatie treft.
- bevestigd OpenSSH 10.6p2 verhelpt een omzeiling van wachtwoordauthenticatie. — Genoemd in de release notes van OpenSSH. bron
- bevestigd De fout treft onder voorwaarden systemen zonder PAM waarop wachtwoordaanmelding is ingeschakeld. — De technische voorwaarden staan in het beveiligingsadvies en de analyse van Cloudflare. bron
- bevestigd Een onderzoeker meldde succesvolle toegang op een Alpine-honeypot. — Help Net Security citeert onderzoeker Özgün Kültekin. bron
Noot van de redactie
De kwetsbaarheid en de patch zijn bevestigd. Misbruik is door een onderzoeker gemeld op een honeypot; de omvang van daadwerkelijke aanvallen is niet vastgesteld.Bronnen
- OpenSSH Release Notes — OpenSSH
- OpenSSH flaw exploited in the wild just hours after disclosure — Help Net Security
- SSHole: OpenSSH password bypass on musl Linux — Cloudflare Radar
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- AD — „openssh cybersecurity”
- RTL Nieuws — „openssh cybersecurity”
- FD — „openssh cybersecurity”