Der Binance-Gründer Changpeng Zhao (CZ) hat Serverbetreiber vor einer kritischen OpenSSH-Authentifizierungsschwachstelle gewarnt, die bestimmte Alpine-Linux-Systeme betrifft, und sie aufgefordert, Sicherheitsupdates zu installieren, nachdem Entwickler entdeckt hatten, dass der Fehler seit fast 10 Jahren bestand.
Zusammenfassung
- Der Binance-Gründer CZ hat Serverbetreiber aufgefordert, eine jahrzehntealte OpenSSH-Authentifizierungsumgehungsschwachstelle sofort zu patchen.
- Der Fehler betrifft bestimmte musl-basierte Linux-Server, die Passwortauthentifizierung ohne aktivierten PAM-Schutz bei Anmeldungen verwenden.
- Angreifer könnten auf anfällige Konten mit überlangen Passwörtern zugreifen, ohne deren tatsächliche Anmeldedaten oder privaten Schlüssel zu kennen.
- OpenSSH veröffentlichte Version 10.6p2, während Alpine Linux Sicherheitsupdates für betroffene Betriebssystemversionen veröffentlichte.
- Einige Alpine-Cloud-Konfigurationen könnten administrative Privilegien offenlegen, obwohl keine bestätigte Ausnutzung öffentlich gemeldet wurde.
In einem Beitrag vom 6. November auf X machte Zhao auf das Sicherheitsproblem aufmerksam, nachdem OpenSSH und Alpine Linux am 5. November Korrekturen veröffentlicht hatten. Die Schwachstelle kann Angreifern den Zugriff auf bestimmte Konten ermöglichen, ohne deren Passwörter zu kennen, einschließlich Konten, die normalerweise so konfiguriert sind, dass sie nur SSH-Schlüssel akzeptieren.
„Alpine Linux OpenSSH-Sicherheitsfehler, der seit 10 Jahren besteht. Wenden Sie die Korrekturen an, falls Sie dies noch nicht getan haben“, schrieb CZ.
Die Warnung betrifft eine Softwareschwachstelle, die einige Serverkonfigurationen betrifft. Weder Zhaos Beitrag noch die Sicherheitshinweise belegten, dass Binance-Systeme durch den Fehler kompromittiert wurden.
OpenSSH-Fehler ermöglicht unbefugten Zugriff auf anfällige Linux-Server
Laut einer offiziellen Sicherheitsmitteilung können Angreifer die Authentifizierung auf betroffenen Alpine-Linux-Servern umgehen, indem sie ein Passwort mit einer Länge zwischen 257 und 1.024 Bytes bereitstellen.
Die Schwachstelle betrifft Systeme, die OpenSSH ohne Pluggable Authentication Modules (PAM) ausführen, sofern die Passwortauthentifizierung aktiviert bleibt und bestimmte Kontokonfigurationen vorhanden sind.
Ein Angreifer muss den Benutzernamen eines Kontos kennen, dessen gespeichertes Passwortfeld ein Sternchen enthält, was darauf hinweist, dass kein Passwort gesetzt wurde. Der Rechner muss über ein weiteres lokales Konto mit einem kompatiblen SHA-256- oder SHA-512-Passwort-Hash verfügen.
Unter diesen Bedingungen kann der Server das überlange Passwort akzeptieren, obwohl es nicht mit legitimen Anmeldedaten übereinstimmt. Die Mitteilung besagt, dass die Ausnutzung nur eine Verbindung erfordert, ohne wiederholte Passwortversuche.
Allerdings ist nicht jeder Alpine-Linux-Server anfällig. Systeme, die PAM für Passwortprüfungen verwenden, solche mit deaktivierter Passwortauthentifizierung und Container ohne laufenden SSH-Server sind nicht betroffen.
Der Fehler kann sich über Alpine hinaus auf andere Linux-Distributionen erstrecken, die musl libc verwenden, einschließlich bestimmter OpenWrt-, Buildroot- und Yocto-Konfigurationen.
OpenWrt verwendet normalerweise Dropbear für SSH-Verbindungen, das laut dem Forscher von diesem speziellen Problem nicht betroffen ist.
Sicherheitsforscher erklärt jahrzehntealten Authentifizierungsfehler
Der Sicherheitsforscher Özgün Kültekin von Wakefield identifizierte die Schwachstelle, die er „*sshole“ nannte, und führte ihre Ursprünge auf Änderungen zwischen 2012 und 2016 zurück.
In seiner technischen Dokumentation erklärte Kültekin, dass musls Passwort-Hashing-Funktion ein Sternchen zurückgibt, wenn Passwörter ihre Verarbeitungsgrenze von 256 Bytes überschreiten.
OpenSSH kann das Passwort-Salt eines anderen Kontos ausleihen, wenn Konten ohne gültige Passwort-Hashes geprüft werden. Die Kombination erzeugt eine Situation, in der das zurückgegebene Sternchen mit dem gespeicherten Passwortfeld übereinstimmt, wodurch eine ungültige Anmeldung erfolgreich sein kann.
Der Forscher führte das Verhalten auf eine OpenSSH-Änderung zurück, die im Juli 2016 eingeführt wurde, um ein separates Sicherheitsproblem im Zusammenhang mit der Entdeckung von Benutzernamen zu beheben.
OpenSSH räumte die Schwachstelle in seinen Versionshinweisen ein, schrieb die zugrunde liegende Ursache jedoch Code außerhalb des SSH-Servers zu.
„Wir betrachten die Grundursache dieses Fehlers als außerhalb von sshd liegend“, erklärte das Entwicklungsteam in seiner Sicherheitsmitteilung.
Die Entwickler beschrieben die neue Version als einen Workaround, der verhindert, dass der Authentifizierungsfehler Zugriff gewährt.
Alpine Linux Cloud-Images mit möglichem Root-Zugriff konfrontiert
Bestimmte Alpine Linux Cloud-Images stellen ein weiteres Problem dar, da ein durch die Schwachstelle offengelegtes Konto über administrative Berechtigungen verfügen kann.
Die Alpine-Sicherheitsmitteilung identifiziert tiny-cloud-Images der Versionen 3.18.11 bis 3.24.3 als potenziell betroffen. Ihr standardmäßiges alpine-Konto hat passwortlosen Zugriff auf das doas-Dienstprogramm, das es Benutzern ermöglicht, Befehle mit administrativen Privilegien auszuführen.
Obwohl diese Images beim ersten Start nicht anfällig sind, kann das Hinzufügen eines Kontos mit einem kompatiblen Passwort-Hash die Bedingungen für eine Ausnutzung schaffen.
Ein Angreifer, der erfolgreich auf das alpine-Konto zugreift, könnte dann dessen bestehende Berechtigungen nutzen, um Root-Zugriff zu erlangen.
Die Sicherheitsmitteilung unterscheidet diese Konfigurationen von Systemen, bei denen direkte Root-Anmeldungen weiterhin eingeschränkt sind. Die Standardeinstellungen von OpenSSH verhindern passwortbasierten Root-Zugriff, obwohl ein anderes kompromittiertes Administratorkonto dennoch erhöhte Privilegien bereitstellen könnte.
Die Offenlegung erfolgt, während CZ weiterhin Sicherheitswarnungen an Kryptowährungsnutzer herausgibt. Am 5. November berichtete crypto.news über seine Warnung vor einer betrügerischen Trust Wallet-Website, die darauf ausgelegt ist, Nutzer dazu zu verleiten, ihre Wallets zu verbinden.
OpenSSH veröffentlicht dringenden Sicherheitsfix
OpenSSH veröffentlichte am 5. November Version 10.6p2, um die Authentifizierungsumgehung zu beheben. Alpine Linux veröffentlichte gepatchte Pakete für aktuelle Releases und ältere Versionen bis zurück zu 3.16.
Die Sicherheitsmitteilung weist Administratoren an, betroffene Pakete zu aktualisieren und den SSH-Dienst neu zu starten, da die alleinige Installation eines Updates einen laufenden Serverprozess nicht ersetzt.
Für Betreiber, die nicht sofort aktualisieren können, empfehlen die Entwickler, die Passwortauthentifizierung zu deaktivieren, indem PasswordAuthentication no gesetzt und sshd neu gestartet wird, nachdem bestätigt wurde, dass der SSH-Schlüsselzugriff funktioniert.
Alpine identifizierte die Versionen 3.21.10, 3.22.8, 3.23.8 und 3.24.4 als Releases, die die korrigierten Pakete enthalten.
Administratoren wurden aufgefordert, die SSH-Authentifizierungsprotokolle auf unerwarteten passwortbasierten Zugriff auf Konten zu überprüfen, die keine Passwörter akzeptieren sollten.
Die Sicherheitsmitteilung erklärte, dass Betreiber, die unbefugten Zugriff nicht ausschließen können, die betroffene Maschine als kompromittiert behandeln sollten.
