*sshole açığı belirli sistemlerde şifresiz SSH erişimi sağlıyor

Alpine Linux kullanan bazı sistemlerdeki *sshole güvenlik açığı, belirli koşullar bir araya geldiğinde SSH üzerinden parola girmeden hesaba erişilmesine yol açabiliyor. Yaklaşık on yıldır var olan sorun, her Alpine Linux kurulumunu veya Linux sunucusunu otomatik olarak savunmasız hâle getirmiyor. Etkilenme ihtimali; OpenSSH’in hangi bileşenlerle çalıştığına, kimlik doğrulama ayarlarına ve kullanıcı hesaplarının nasıl yapılandırıldığına bağlı.

Bu ayrım, sistem yöneticilerinin yalnızca işletim sistemi adına bakarak karar vermesini yetersiz kılıyor. Aynı yapılandırmaya sahip farklı Linux dağıtımları da risk taşıyabilir. Tersine, Alpine Linux çalıştıran bir sistemde gerekli koşullar yoksa burada tarif edilen saldırı senaryosu geçerli olmayabilir. Bu nedenle OpenSSH, musl, PAM ve hesap bilgilerini birlikte değerlendirmek gerekiyor.

Açığın çalışması için hangi koşullar gerekiyor?

*sshole, OpenSSH ile musl arasındaki etkileşimle bağlantılı. OpenSSH, uzak sistemlere güvenli bağlantı kurmayı sağlayan yazılım. musl ise Linux sistemlerinde kullanılan C standart kütüphanelerinden biri ve Alpine Linux’un tercih ettiği bileşenler arasında yer alıyor.

OpenSSH’in musl ile çalışması tek başına açığın ortaya çıkması için yeterli değil. Yapılandırmada PAM’ın da kullanılmaması gerekiyor. PAM, kullanıcı kimlik doğrulamasını ve hesaplara erişim denetimini yöneten bir çerçeve. Dolayısıyla risk değerlendirmesinde hangi kütüphanenin kullanıldığı kadar, SSH kimlik doğrulamasının nasıl düzenlendiği de önem taşıyor.

Hesap tarafında da ek koşullar bulunuyor. Sistemde SHA256 veya SHA512 ile özetlenmiş parolaya sahip ve parola üzerinden erişilebilen en az bir kullanıcı hesabı olmalı. Ayrıca hedef hesabın parola alanında yıldız işareti bulunması gerekiyor. Bu tür bir değer, hesabın klasik parola doğrulaması kullanmadığı bir yapılandırmayla ilişkili olabiliyor; bazı hesaplarda sertifika gibi başka kimlik doğrulama yöntemleri tercih edilebiliyor.

Bir sistemin haber verilen senaryoya uyup uymadığını anlamak için aşağıdaki koşulların birlikte incelenmesi gerekiyor:

• OpenSSH’in musl kullanan bir ortamda çalışması.
• OpenSSH yapılandırmasında PAM’ın devrede olmaması.
• Sistemde SHA256 veya SHA512 ile özetlenmiş parolaya sahip, parola üzerinden erişilebilen bir kullanıcı bulunması.
• Hedef hesabın parola alanında yıldız işareti yer alması.

Yöneticiler hesapları ve SSH ayarlarını incelemeli

Kontrole, Alpine Linux çalıştıran sunucu ve cihazlarda OpenSSH’in kimlik doğrulama yapılandırmasını belirleyerek başlanabilir. Sonrasında kullanıcı hesapları ve parola bilgilerini içeren /etc/shadow dosyasındaki ilgili alanlar gözden geçirilmeli. Bu inceleme, yıldız işareti bulunan hesapları tespit etmeye yardımcı olabilir; ancak tek bir hesabın bulunması, diğer yazılım ve yapılandırma koşulları da sağlanmadan sistemin kesin olarak etkilenmiş olduğu anlamına gelmez.

Uzaktan erişime açık makinelerde parola kullanmayan hesapların hangi yöntemle doğrulandığı da netleştirilmeli. SSH ayarlarıyla hesap bilgilerinin ayrı ayrı değerlendirilmesi, gerekli koşulların aynı sistemde bulunup bulunmadığını görmeyi sağlar. Kurumlar bu denetimi yalnızca Alpine Linux cihazlarıyla sınırlamamalı; OpenSSH ve musl kullanan, PAM’ı devre dışı bırakan başka sistemleri de kendi yapılandırmalarına göre incelemeli.

Açığın uzun süredir bulunması, daha önce kurulmuş makinelerin de kontrol edilmesini gerektiriyor. Saldırının belirtilen koşullar sağlandığında tek bağlantıyla başarılı olabilmesi, denetimi ertelememek için bir neden. Bununla birlikte bu bilgi, tüm Linux cihazlarının savunmasız olduğu şeklinde yorumlanmamalı. Risk, gerekli yazılım bileşenleriyle hesap ve kimlik doğrulama ayarlarının birlikte bulunmasına bağlı.

Yöneticiler için temel nokta, parola kullanmayan hesapları doğrudan güvenli ya da savunmasız kabul etmemek. Hesabın SSH üzerinden nasıl doğrulandığı, parola alanındaki değerin ne olduğu ve sistemin hangi kütüphane ile kimlik doğrulama düzenini kullandığı birlikte kontrol edilmeli. Böylece *sshole’un söz konusu sistem için geçerli olup olmadığı, dağıtım adına değil gerçek yapılandırmaya bakılarak belirlenebilir.