Lỗ hổng OpenSSH trên Linux đang bị tin tặc khai thác tích cực

Các nhà nghiên cứu tại công ty bảo mật watchTowr cho biết hôm thứ Sáu rằng họ cũng đang ghi nhận các hoạt động khai thác, vốn có liên quan đến các mạng botnet và tiền điện tử. Công ty bảo mật Previdian cũng đã báo cáo hoạt động tương tự. Họ cho biết các cảm biến của công ty đã ghi nhận 20 lần cố gắng khai thác từ 13 địa chỉ IP tấn công độc hại khác nhau đến từ chín quốc gia.

Lỗ hổng này, được theo dõi với mã CVE-2026-123158, nằm trong OpenSSH khi nó chạy song song với musl, một lựa chọn thay thế trên Linux cho thư viện mã libc được sử dụng rộng rãi. Hơn nữa, OpenSSH không được sử dụng PAM (mô-đun xác thực có thể cắm), một framework xử lý việc xác thực người dùng và kiểm tra quyền truy cập tài khoản. Ngoài ra, cấu hình SSH phải (1) có ít nhất một tài khoản có thể truy cập bằng mật khẩu được băm bằng hàm SHA256 hoặc SHA512 và (2) cũng được thiết lập để sử dụng tài khoản không cần mật khẩu bằng cách chỉ định dấu "*" trong trường mật khẩu ở tệp /etc/shadow. Các cấu hình không cần mật khẩu là tiêu chuẩn cho một số loại tài khoản nhất định.

Các cuộc tấn công khai thác được kích hoạt khi kẻ tấn công nhập mật khẩu có hơn 256 ký tự cho một tài khoản không cần mật khẩu. Bước này xảy ra khi máy chủ OpenSSH băm mật khẩu được cung cấp và đối chiếu nó với mã băm được lưu trữ trong /etc/shadow. Mật khẩu quá khổ tạo ra một lỗi khiến hàm băm mật khẩu của musl trả về dấu "*". Các cuộc tấn công khai thác sự "hiểu lầm về việc một chuỗi có phải là mã băm mật khẩu hay không", Red Hat cho biết.

Bất chấp nhiều điều kiện cần thiết, CVE-2026-123158 vẫn gây ra mối đe dọa nghiêm trọng đối với một cơ sở máy chủ lớn, đáng chú ý nhất là những máy chủ chạy Alpine, một bản phân phối Linux nhẹ. Sự dễ dàng trong việc khai thác cho phép tin tặc hướng các lệnh độc hại đến bất kỳ máy chủ SSH nào trong số hàng triệu máy chủ công khai trên Internet và xác định các máy chủ có khả năng bị tổn thương trong vài giây. Bất kỳ ai sử dụng OpenSSH nên cài đặt bản cập nhật ngay lập tức. Những người sử dụng musl nên điều tra thêm.