Lỗ hổng OpenSSH "sshole" bị khai thác chưa đầy 9 giờ sau khi công bố, hệ thống Alpine Linux bị ảnh hưởng

Ngày 05/11/2026, dự án OpenSSH phát hành bản 10.6p2 để vá lỗ hổng CVE-2026-123158, được nhà nghiên cứu Özgün Kültekin đặt biệt danh "sshole". Lỗ hổng cho phép kẻ tấn công từ xa đăng nhập vào một số tài khoản không có mật khẩu mà không cần biết mật khẩu nào. Theo Help Net Security, công ty Previdian ghi nhận lượt khai thác đầu tiên chưa đầy 9 giờ sau khi mã CVE được công bố, và ít nhất một lượt đã chiếm được quyền root trên một máy bẫy (honeypot) chạy Alpine Linux.

Lỗ hổng ảnh hưởng tới hệ thống nào

Lỗ hổng chỉ xuất hiện trên các bản OpenSSH trước 10.6p2 chạy trên Linux dùng thư viện C musl và không kiểm tra mật khẩu qua PAM. Gói openssh-server mặc định của Alpine Linux được dựng đúng theo cách này. Nhà nghiên cứu còn nêu tên OpenWrt, Buildroot, Yocto và "rất nhiều docker image" dựa trên musl. Ảnh cloud chính thức của Alpine trên AWS và Azure (tiny-cloud, phiên bản 3.18.11 tới 3.24.3) có tài khoản mặc định alpine được dùng doas không cần mật khẩu, nên rủi ro leo thang lên root cao hơn.

Các hệ thống dùng glibc như Debian, Ubuntu, Fedora, các cấu hình dùng PAM, Dropbear và OpenBSD không bị ảnh hưởng, theo nhà nghiên cứu.

Điều kiện khai thác gồm: đăng nhập bằng mật khẩu đang bật (mặc định của OpenSSH), tài khoản đích chỉ có ký tự "*" ở trường mật khẩu (thường là tài khoản chỉ dùng khoá SSH hoặc tài khoản LDAP qua musl-nscd), và trên máy có một tài khoản khác mang hash mật khẩu hợp lệ.

Nguyên nhân kỹ thuật

Gốc rễ là sự gặp nhau của hai thay đổi cũ. Năm 2016, để chống dò tên người dùng qua thời gian phản hồi (CVE-2016-6210), sshd được sửa để mượn salt của tài khoản khác và vẫn băm mật khẩu khi tài khoản đích không có hash dùng được. Trong khi đó, từ năm 2012, hàm crypt() của musl từ chối mật khẩu SHA-256/SHA-512 dài hơn 256 byte và trả về "*" khi lỗi. Kết quả "*" này trùng với giá trị lưu cho tài khoản bị khoá, nên sshd chấp nhận đăng nhập. Kẻ tấn công chỉ cần gửi một mật khẩu thật dài.

Theo Previdian, tới thời điểm bài báo có 8 lượt khai thác, đều từ một địa chỉ IP đặt tại Nhật Bản. Sau khi vào được, kẻ tấn công chạy các lệnh trinh sát như id, uname, hostname. Nhà sáng lập Previdian, Ryan Dewhurst, cho rằng AI đang giúp kẻ tấn công ra tay nhanh hơn. CISA khi đó chưa đưa lỗ hổng vào danh mục KEV.

Việc cần làm ngay

• Cập nhật OpenSSH lên 10.6p2 và khởi động lại dịch vụ sshd: cài gói mới không tự khởi động lại tiến trình đang chạy.
• Trong lúc chờ vá, đặt PasswordAuthentication no hoặc tắt SSH trên máy bị ảnh hưởng, như khuyến nghị của nhà phát triển OpenSSH Damien Miller.
• Kiểm tra /var/log/messages tìm dòng "Accepted password for" gắn với tài khoản không có mật khẩu (alpine, root, tài khoản chỉ dùng khoá).
• Rà soát việc dùng doas, tài khoản mới tạo và các file authorized_keys. Không loại trừ được xâm nhập thì coi máy đã bị chiếm.
• Không chạy các mã PoC trên GitHub: Previdian cảnh báo chúng chưa được kiểm chứng và có thể chứa mã độc.

Góc nhìn NTEK

Alpine Linux có mặt ở rất nhiều nơi trong hạ tầng doanh nghiệp Việt Nam mà người quản trị không để ý: container chạy ứng dụng, máy ảo nhỏ trên cloud, thiết bị mạng và thiết bị nhúng dùng OpenWrt hay Yocto. Đây chính là điểm yếu: máy chủ chính thường được vá đều, còn các thành phần "phụ" này hay bị bỏ quên. Doanh nghiệp và cơ quan nên kiểm kê nhanh mọi máy mở cổng SSH ra ngoài, ưu tiên những máy dựa trên musl, chuyển hẳn sang xác thực bằng khoá và không để SSH mở trực tiếp ra Internet khi không cần. Thời gian từ lúc công bố tới lúc bị khai thác giờ chỉ tính bằng giờ, nên quy trình vá khẩn cấp cần được chuẩn bị sẵn.

Nguồn: Help Net Security