Das Container-Ökosystem befindet sich mit der Entdeckung von SSHole, einer Schwachstelle mit der Referenz CVE-2026-123158 und einem CVSS-Score von 8,1, in einer turbulenten Zone. Diese vom Forscher Özgün Kültekin entdeckte technische Anomalie hat ihren Ursprung in einem Patch aus dem Jahr 2016. Sie zielt speziell auf Systeme ab, die mit dem OpenSSH-Daemon verknüpft sind in der C-Musl-Bibliothek ohne PAM-Module. Alpine Linuxeine allgegenwärtige Distribution in Docker, Kubernetes und Proxmox, steht an vorderster Front. Die automatisierten Angriffe ließen nicht lange auf sich warten, denn weniger als neun Stunden nach der Veröffentlichung gelang es interaktiven Untersuchungen, die von einer japanischen IP-Adresse aus durchgeführt wurden, Root-Zugriff auf Trap-Server zu erlangen.
Wie funktioniert der SSHole-Fehlereindringmechanismus?
Der Hack nutzt Verwirrung im Umgang mit Verschlüsselungsfehlern aus. Diese Schwachstelle wird aktiviert, sobald ein Angreifer im Passwortfeld eine Zeichenfolge zwischen 257 und 1.024 Byte sendet. Angesichts dieser übermäßigen Eingabe schlägt die Crypt-Funktion von musl fehl und gibt ein einfaches Sternchen anstelle des üblichen Nullwerts zurück. Der Verbindungsdämon (Disk and Execution MONitor) vergleicht dann dieses Ergebnis mit der in der Systemschattendatei gespeicherten Sperrmarkierung und validiert die Sitzung sofort.
Damit das Manöver erfolgreich ist, muss der Zielcomputer mindestens ein gültiges Benutzerkonto hosten, dessen Fingerabdruck die Algorithmen SHA-256 oder SHA-512 verwendet. Tatsächlich leiht sich der Server das kryptografische Salt von diesem aktiven Konto, um den Betrugsversuch zu verarbeiten. Ohne diese Bedingung schlägt der Angriff völlig fehl. Solange die Voraussetzungen erfüllt sind, gelingt der Einbruch beim ersten Versuch, ohne dass wiederholte Versuche erforderlich sind, sofern die Berechtigungen des Zielkontos vorliegen.
Welche Systeme sind dieser Bedrohung wirklich ausgesetzt?
Die Gefahr konzentriert sich auf Umgebungen, in denen der OpenSSH-Server ausgeführt wird ohne PAM zu integrieren, während die Passwortoption aktiv bleibt. Alle Versionen von Alpine Linux von 3.16 bis 3.24 sowie der Edge-Zweig sind standardmäßig anfällig. Andere Distributionen wie Void Linux, Buildroot oder Yocto teilen dieses potenzielle Risiko. Andererseits vermeidet OpenWrt diese Falle dank der nativen Verwendung des Dropbear-Daemons, es sei denn, der Administrator hat die Installation eines alternativen Pakets erzwungen. Große Distributionen, die auf glibc basieren, bleiben völlig immun.
Die Veröffentlichung des Patches wurde von den Projektbetreuern beschleunigt. Damien Miller begründete diese Dringlichkeit mit der beispiellosen Fähigkeit von Agenten der künstlichen Intelligenz, Softwarefehler innerhalb weniger Stunden wieder zu entdecken. Da Millionen von Maschinen ihren Port 22 dem Internet zugänglich machen, wird die Authentifizierung deaktiviert per Passwort stellt die wirksamste unmittelbare Barriere dar, um automatisierte Scans zu stoppen.
Welche Sofortmaßnahmen können ergriffen werden, um Einbrüche zu verhindern?
Die Priorität besteht darin, OpenSSH Version 10.6p2 oder von Ihrer Distribution aktualisierte Pakete bereitzustellen und dann den sshd-Daemon neu zu starten. Wenn es beim Patchen zu Verzögerungen kommt, fügen Sie einfach die Passwortsperranweisung zur Dienstkonfiguration hinzu. Sicherheitsteams empfehlen außerdem, Ereignisprotokolle auf verdächtige validierte Anmeldungen für Profile zu prüfen, die nur mit Schlüsseln funktionieren sollen, und die Rechteausweitung über doas oder sudo genau zu überwachen.
Häufig gestellte Fragen (FAQ)
Welche Linux-Distributionen sind von SSHole betroffen?
Alpine Linux ist in seinen Versionen 3.16 bis 3.24 standardmäßig das Hauptziel, das betroffen ist. Andere leichtgewichtige Systeme wie Void Linux, Yocto oder Buildroot sind betroffen, wenn sie OpenSSH mit musl kompilieren, ohne PAM-Module zu aktivieren. Ausgenommen sind glibc-basierte Systeme wie Debian, Ubuntu oder Red Hat.
Kann ein passwortloses Root-Konto direkt kompromittiert werden?
Wenn der Server die Standardeinstellung beibehält, die eine direkte Root-Anmeldung per Passwort verbietet, wird der direkte Zugriff blockiert. Andererseits kann sich ein Angreifer über ein anderes Benutzerkonto ohne Passwort einloggen und sich dann mit Doas- oder Sudo-Rechten administrative Rechte verschaffen.
Wie kann das Problem behoben werden, ohne den gesamten Server neu zu starten?
Aktualisieren Sie einfach das von Ihrem Distributionsmanager bereitgestellte OpenSSH-Paket und starten Sie dann nur den SSHD-Dienst neu. Sie können auch die Zeile „PasswordAuthentication no“ in Ihre sshd_config-Datei schreiben, bevor Sie die Daemon-Konfiguration neu laden.
