Falla in OpenSSH permette accesso a account con password disabilitate
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Su sistemi Linux basati su musl, inviando una password più lunga di 256 byte si può ottenere il simbolo '*' e sbloccare account che avevano la password disabilitata.
Basta inviare una password più lunga di 256 byte per ottenere l’accesso a account Linux con login via password disattivato su sistemi che usano la libreria C musl. La vulnerabilità, battezzata informalmente sshole, è stata descritta oggi dal ricercatore Ozgun Kultekin1.
Cosa fare subito: aggiornare OpenSSH appena disponibile. Se non è possibile, disattivare l’autenticazione via password impostando PasswordAuthentication no nella configurazione del server e riavviare SSH. Controllare poi i log di autenticazione per login via password su account che non dovrebbero consentirli, segnale di possibile sfruttamento1.
Il difetto riguarda installazioni che bloccano l’accesso via password sostituendo l’hash con un asterisco nel file /etc/shadow. Per ridurre l’enumerazione degli utenti, nel 2016 OpenSSH ha introdotto un cambio: calcola comunque un hash anche quando l’account non ha un hash utilizzabile, inclusi i casi con asterisco. Su sistemi con musl, la funzione crypt() restituisce asterisco quando il calcolo fallisce, anche se la password supera il limite di 256 byte. A quel punto OpenSSH confronta due asterischi, quello ritornato dalla libreria e quello nel campo password dell’account, e apre la sessione1.
Distribuzioni citate: Alpine, OpenWrt, Buildroot, Yocto. Kultekin indica che il problema esiste dal 2016 e nasce come effetto collaterale della mitigazione per una vulnerabilità di enumerazione dell’utente tracciata come CVE-2016-6210. L’anomalia si manifesta solo con musl per via del comportamento specifico della crypt() in caso di input fuori soglia1.
Non si tratta di un bypass generale delle password. Gli account con hash valido restano protetti. Il rischio colpisce gli account configurati per rifiutare le password tramite asterisco in /etc/shadow. In questi casi, una password sopra i 256 byte innesca l’errore nella crypt() di musl e porta al confronto errato che sblocca l’accesso1.
Il vettore di attacco è banale: serve poter tentare un login SSH e inviare una stringa oltre i 256 byte come password. Non occorrono credenziali né condizioni speciali oltre alla presenza dell’asterisco nel campo password. Sono quindi esposti i sistemi basati su musl che espongono SSH in rete se includono account con login via password disattivato in quel modo1.
Per chi amministra ambienti Alpine, OpenWrt, Buildroot o Yocto, la priorità è doppia: applicare l’aggiornamento di OpenSSH e verificare i log. Eventuali accessi via password su account che dovrebbero rifiutarla suggeriscono compromissione e richiedono risposta. Kultekin invita a intervenire subito1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Rilettura. Un passaggio toglie i tic della prosa generata da un modello, come i contrasti costruiti e le frasi che annunciano invece di informare, senza toccare fatti e fonti.
- Fedeltà alle fonti. Un passaggio dedicato toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9,5/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,6/10 dopo 2 revisioni.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.