اكتشف الباحث الأمني أوزغون كولتكين ثغرة أمنية خطيرة في OpenSSH تسمح للمهاجمين بالحصول على صلاحيات الجذر على بعض توزيعات Linux ببساطة عن طريق إرسال سلسلة من 257 حرفًا أثناء محاولة تسجيل الدخول عبر SSH. تؤثر الثغرة فقط على الأنظمة التي تستخدم مكتبة musl libc مع تعطيل دعم PAM. وقد أصدر فريق OpenSSH تحديثًا أمنيًا لمعالجة المشكلة، ويُنصح المسؤولون عن الأنظمة المتأثرة بالتحديث دون تأخير.
كيف تعمل الثغرة؟
تكمن المشكلة في طريقة تعامل خادم SSH (sshd) مع المصادقة بكلمة المرور عندما يكون PAM (وحدات المصادقة القابلة للتوصيل) معطلًا. على الأنظمة المعرضة للخطر، يمكن للمهاجم إرسال كلمة مرور تتكون من 257 حرفًا أو أكثر، مما يؤدي إلى سلوك غير متوقع في التحقق من تجزئة كلمة المرور. بدلاً من رفض المحاولة، يقبل النظام الاتصال ويمنح وصول الجذر.
وفقًا لملاحظات إصدار OpenSSH، “يحتوي هذا الإصدار على حل بديل أمني حرج يؤثر على أنظمة Linux التي تستخدم musl libc مع تعطيل PAM”. يعمل التصحيح على منع تجاوز مصادقة كلمة المرور عن طريق تعديل كيفية معالجة sshd لكلمات المرور الطويلة جدًا.
من هي الأنظمة المتأثرة؟
لا تؤثر الثغرة على جميع توزيعات Linux، بل تتطلب توفر عدة شروط معًا:
- يستخدم النظام مكتبة musl libc بدلاً من glibc القياسية.
- تم تكوين خادم SSH مع تعطيل PAM (UsePAM no).
- تم تمكين المصادقة بكلمة المرور (وهو الوضع الافتراضي).
- يوجد حساب مع تجزئة كلمة مرور محددة على “*”، وهو أمر شائع لحسابات الجذر أو الحسابات بدون كلمة مرور.
التوزيعات الأكثر عرضة للإصابة هي تلك المبنية على musl، مثل Alpine Linux وOpenWrt وBuildroot وYocto. معظم التوزيعات الشائعة مثل Ubuntu وDebian وFedora وArch Linux تستخدم glibc وبالتالي ليست عرضة للخطر.
التفسير التقني للثغرة
السبب الجذري للثغرة هو تفاعل بين وظيفتين لإدارة كلمات المرور. تستخدم إحدى الوظائف الحرف “*” كقيمة تجزئة للإشارة إلى أن الحساب ليس لديه كلمة مرور صالحة، بافتراض أن هذا الحرف لن يُستخدم أبدًا كتجزئة حقيقية. ومع ذلك، عندما تتلقى وظيفة أخرى كلمة مرور طويلة جدًا، فإنها تحدد التجزئة على “*” للإشارة إلى خطأ. بسبب هذا الالتباس، يفسر النظام التجزئة “*” على أنها مؤشر على أن الحساب ليس لديه كلمة مرور، ويمنح الوصول دون مزيد من التحقق.
تم توثيق هذه الثغرة من قبل الباحث أوزغون كولتكين على موقعه sshhole.com، حيث أوضح أن الثغرة ناتجة عن حالة حدية تم إهمالها في معالجة كلمات المرور على أنظمة musl بدون PAM.
التحديث الأمني والتوصيات
أصدر فريق OpenSSH تحديثًا يعالج هذه الثغرة. يجب على مسؤولي الأنظمة المتأثرة تحديث OpenSSH فورًا. في انتظار التحديث، يُنصح بتعطيل المصادقة بكلمة المرور واستخدام مفاتيح SSH، أو تمكين PAM إذا أمكن.
للتحقق مما إذا كان نظامك عرضة للخطر، يمكنك تشغيل الأمر ssh -V لمعرفة إصدار OpenSSH، والتحقق من الإعدادات في /etc/ssh/sshd_config لمعرفة ما إذا كان UsePAM no موجودًا. إذا كان الأمر كذلك، وكنت تستخدم توزيعة musl، فأنت في خطر.
التأثير على المستخدمين
على الرغم من خطورة الثغرة، إلا أنها تؤثر فقط على عدد قليل من التوزيعات. معظم مستخدمي Linux العاديين ليسوا متأثرين. ومع ذلك، يجب على مستخدمي التوزيعات البسيطة مثل Alpine Linux، التي تُستخدم غالبًا في الحاويات أو البيئات المدمجة، توخي الحذر. كما أن أجهزة التوجيه التي تعمل بنظام OpenWrt والأنظمة المدمجة المبنية على Buildroot أو Yocto معرضة أيضًا.
تسلط هذه الثغرة الضوء على أهمية تحديث الأنظمة باستمرار واتباع ممارسات الأمان الجيدة، مثل استخدام مفاتيح SSH بدلاً من كلمات المرور.
الخلاصة
تُعد ثغرة SSH المكتشفة مؤخرًا تذكيرًا بأنه حتى البروتوكولات الأكثر موثوقية يمكن أن تحتوي على نقاط ضعف. لحسن الحظ، التصحيح متاح بالفعل ونطاق الثغرة محدود. يجب على المسؤولين المتأثرين التصرف بسرعة لحماية أنظمتهم.