Hackers Target OpenSSH SSHole Flaw Within Hours of Disclosure, Gain Root on Honeypot

Pi­ra­tas in­for­má­ti­cos han co­men­za­do a in­ten­tar ex­plo­tar una vul­ne­ra­bi­li­dad de se­gu­ri­dad re­cien­te­men­te re­ve­la­da en OpenSSH, la cual per­mi­te ini­ciar se­sión en cuen­tas que ca­re­cen de con­tra­se­ña es­ta­ble­ci­da. Este fallo afec­ta a sis­te­mas Linux que eje­cu­tan OpenSSH uti­li­zan­do la bi­blio­te­ca C musl y con los Mó­du­los de Au­ten­ti­ca­ción Plug­ga­ble des­ac­ti­va­dos, lo que in­clu­ye la con­fi­gu­ra­ción pre­de­ter­mi­na­da del ser­vi­dor OpenSSH en Al­pi­ne Linux. La falla ocu­rre por­que un ata­can­te no au­ten­ti­ca­do puede en­viar una con­tra­se­ña con un ta­ma­ño de­ter­mi­na­do para ac­ce­der a cuen­tas con­fi­gu­ra­das in­ten­cio­nal­men­te sin cre­den­cia­les uti­li­za­bles, sin ne­ce­si­dad de robar cla­ves o datos de ac­ce­so.

El pro­ble­ma téc­ni­co se ori­gi­na en un par­che an­te­rior del año dos mil die­ci­séis para co­rre­gir otro in­con­ve­nien­te, pro­vo­can­do que el ma­ne­jo de con­tra­se­ñas in­ter­pre­te erró­nea­men­te un fallo en el pro­ce­so de hash como una au­ten­ti­ca­ción vá­li­da. Para lo­grar­lo, el ata­can­te in­tro­du­ce una con­tra­se­ña de una lon­gi­tud es­pe­cí­fi­ca que ge­ne­ra un as­te­ris­co, el cual coin­ci­de con el valor al­ma­ce­na­do en las cuen­tas sin con­tra­se­ña. No obs­tan­te, esta vul­ne­ra­bi­li­dad no afec­ta a todas las dis­tri­bu­cio­nes ni sis­te­mas, ya que ex­clu­ye a aque­llos ba­sa­dos en glibc, los que no son de Linux, el soft­wa­re Drop­bear y los que ve­ri­fi­can cre­den­cia­les me­dian­te PAM.

Em­pre­sas de in­te­li­gen­cia de ame­na­zas de­tec­ta­ron los pri­me­ros in­ten­tos de ata­que pocas horas des­pués de la di­vul­ga­ción del có­di­go iden­ti­fi­ca­to­rio, con­fir­man­do el ac­ce­so root en un sis­te­ma tram­pa que uti­li­za­ba Al­pi­ne Linux y OpenSSH. Las re­co­men­da­cio­nes para los usua­rios afec­ta­dos con­sis­ten en ac­tua­li­zar a la ver­sión co­rre­gi­da del soft­wa­re y re­ini­ciar el ser­vi­cio, ade­más de re­vi­sar los re­gis­tros del sis­te­ma en busca de ac­ce­sos acep­ta­dos en cuen­tas que no de­be­rían per­mi­tir con­tra­se­ñas, así como in­ves­ti­gar ar­chi­vos re­cien­tes y la crea­ción de usua­rios para de­ter­mi­nar si el equi­po fue com­pro­me­ti­do.