La faille SSHole dans OpenSSH exploitée activement pour compromettre des systèmes Linux

Une vulnérabilité critique baptisée « SSHole » dans OpenSSH fait l’objet d’une exploitation active depuis début novembre, selon plusieurs entreprises de cybersécurité. Identifiée sous la référence CVE-2026-123158, cette faille permet à des attaquants de contourner l’authentification sur des systèmes Linux basés sur la bibliothèque musl, notamment la distribution Alpine largement utilisée dans les environnements cloud et conteneurisés.

Le mécanisme de la faille repose sur un comportement inattendu de la fonction de hachage de mots de passe de musl. Lorsqu’un compte est configuré pour interdire la connexion par mot de passe, son champ de hachage dans /etc/shadow contient alors un astérisque (*) -, la soumission d’un mot de passe anormalement long provoque une erreur dans la fonction de hachage de musl, qui renvoie alors un astérisque. OpenSSH interprète ce retour comme une correspondance valide et autorise l’accès.

Le chercheur Özgün Kültekin a divulgué la vulnérabilité la semaine dernière. Les mainteneurs d’OpenSSH ont publié la version 10.6p2 le 5 novembre, corrigeant le défaut. Toutefois, un code d’exploitation est apparu environ quatre heures plus tard. La société finlandaise Defused a rapporté avoir observé « un petit nombre d’acteurs » tentant d’exploiter SSHole, sans que l’activité ne soit généralisée. GreyNoise a enregistré la première exploitation réussie dans la nature le 7 novembre à 00:46 UTC, soit une quarantaine d’heures après la publication du correctif. Les chercheurs ont consigné seize chaînes d’exploitation réussies ciblant des réseaux protégés par GreyNoise, originaires de six adresses IP liées à des activités de post-exploitation.

Dans les attaques observées par GreyNoise, les acteurs de menace ont effectué des reconnaissances système et conteneur, interrogé des services de métadonnées cloud, tenté de lire des hachages de mots de passe et des clés SSH root, et essayé de modifier les fichiers « authorized_keys » SSH pour assurer une persistance. Un attaquant a obtenu des privilèges root et installé TAC Agent, un agent de commande et contrôle écrit en Python. L’implant n’a pas réussi à joindre son serveur C2 à « tac.vpnla[.]org » et n’a jamais reçu de tâche. L’analyse de la charge utile montre que l’agent prend en charge l’exécution de commandes shell, la reconnaissance système étendue, les opérations de transfert de fichiers et l’auto-mise à jour. L’absence de persistance intégrée pousse les attaquants à configurer un service de démarrage. Les commentaires, journaux et erreurs de l’implant étaient en chinois, ce qui peut aider à déterminer l’origine des attaquants.

Des capteurs de la société de sécurité réseau Previdian ont également confirmé l’exploitation réussie de SSHole, avec des données de télémétrie montrant vingt tentatives provenant de treize adresses IP d’attaquants dans neuf pays. La société de sécurité offensive watchTower a indiqué le 6 novembre avoir observé SSHole exploité dans des attaques associées à des botnets et à l’activité de cryptominage.

Les administrateurs système doivent mettre à jour OpenSSH dès que possible, ou désactiver l’authentification par mot de passe SSH sur les systèmes affectés par SSHole. Il est également recommandé de vérifier les connexions par mot de passe inattendues sur des comptes dont le champ /etc/shadow est un astérisque, la présence de clés SSH non autorisées, ainsi que les fichiers ou services de démarrage liés à TAC Agent.

Sources : BleepingComputer, The Hacker News