Alpine Linux'ta OpenSSH açığı: Saldırganlar tek bağlantıyla şifresiz hesaplara girebiliyor

Alpine Linux, OpenSSH'da saldırganların şifre korumalı olmayan hesaplara tek bir bağlantıyla giriş yapmasına olanak tanıyan kritik bir güvenlik açığını duyurdu. Şirketin güvenlik bildirimine göre saldırı, savunmasız bir sunucunun SSH portuna erişebilen herkes için "her seferinde çalışıyor ve yeniden deneme gerektirmiyor".

Açık, CVE-2026-123158 koduyla kayıtlara geçti. Alpine Linux, incelediği tüm sürümlerin etkilendiğini açıkladı: 3.21'den 3.24'e kadar olan sürümler, edge ve 3.16 ile 3.20 arasındaki eski dallar. Şirket, düzeltmeyi içeren 3.21.10, 3.22.8, 3.23.8 ve 3.24.4 sürümlerini perşembe günü yayımladı.

Alpine Linux OpenSSH açığı nasıl işliyor?

Güvenlik mühendisi Gregory Bryant'ın LinkedIn paylaşımına göre sorun, tek bir karaktere dayanıyor. OpenSSH, PAM (Pluggable Authentication Modules) olmadan derlendiğinde şifreleri C kütüphanesinin crypt() fonksiyonuyla hash'leyip hesabın kayıtlı şifre alanıyla karşılaştırıyor. Ancak girilen şifre 256 bayttan uzun olduğunda musl kütüphanesinin crypt() fonksiyonu hata göstergesi olarak "*" dizesini döndürüyor. Şifresiz, yalnızca anahtarla girişe açık hesapların şifre alanında da aynı "*" ifadesi yer aldığı için iki değer eşleşiyor ve giriş başarılı oluyor.

Saldırganın 257 ile 1.024 bayt arasında bir şifre göndermesi yeterli. Alpine'a göre makinede şifreli tek bir kullanıcı hesabının bulunması, tüm şifresiz hesapların erişilebilir hale gelmesine yol açıyor. Açığı bulan ekibe göre bu yan etki 2016'dan beri sistemlerde gizli duruyordu.

Hangi sistemler etkileniyor?

Alpine Linux, açığa maruz kalmak için üç koşulun birlikte gerektiğini belirtiyor: PAM olmadan derlenmiş openssh-server paketi ya da UsePAM no ayarıyla çalışan openssh-server-pam, PasswordAuthentication ayarının yes olması (OpenSSH'un varsayılanı) ve şifre alanı "*" olan bir hesabın yanında 5 veya 6 ile başlayan hash'e sahip başka bir hesabın bulunması.

Şirket, resmi tiny-cloud imajlarının 3.18.11 ile 3.24.3 sürümlerini özellikle savunmasız olarak işaret etti. Bu imajlar "*" şifre alanına sahip bir alpine kullanıcısı ve şifresiz doas ile geliyor; ilk açılışta güvenli olsalar da makinede herhangi bir 6 hash'i oluştuğunda açık kullanılabilir hale geliyor. Alpine'a göre sshd çalıştırmayan konteynerler, şifre kimlik doğrulaması kapalı sistemler, UsePAM yes ile çalışan openssh-server-pam kullananlar, şifre alanında "!" bulunan kilitli hesaplar ve cloud-init ile yapılandırılıp PasswordAuthentication no yazan bulut imajları etkilenmiyor.

Alpine Linux, musl kullanan tek işletim sistemi değil. Adélie Linux, Void Linux, Sabotage Linux, OpenWrt ve gömülü Linux dağıtımları oluşturmak için kullanılan Yocto Project de potansiyel olarak etkilenenler arasında. Ticari gömülü Linux dağıtımı Wind River Linux'u üreten Wind River da konuyu inceliyor. Şirket temsilcisi, "Wind River güvenliğe önem veriyor. Bildirilen açığı aktif olarak inceliyor ve olası etkisini değerlendiriyoruz" dedi. glibc'nin crypt() fonksiyonunu kullanan Debian, Ubuntu ve Fedora gibi dağıtımlar ise etkilenmiyor; çünkü bu sistemlerde aynı deneme NULL döndürüyor ve sshd bunu reddediyor.

Düzeltme nasıl uygulanır?

Alpine Linux, güncellemenin ardından sshd servisinin yeniden başlatılması gerektiğini vurguladı; paketin yükseltilmesi çalışan servisin yerini almıyor. Yöneticilerin apk upgrade -U -a komutunu çalıştırıp ardından rc-service sshd restart ile servisi yeniden başlatması öneriliyor. Güncelleme yapamayanların, anahtarla girişin çalıştığını doğruladıktan sonra PasswordAuthentication ayarını no yapıp sshd'yi yeniden başlatması gerekiyor. Yeni yayımlanan OpenSSH 10.6p2 sürümü de sorunu sshd tarafında gideriyor.

Alpine, saldırı olup olmadığını anlamak için yöneticilerin /var/log/messages dosyasında şifresi olmayan hesaplar adına kaydedilmiş "Accepted password for" satırlarını aramasını önerdi. Şirket ayrıca doas kullanımının ve son oluşturulan kullanıcı, dosya ve yetkili anahtarların gözden geçirilmesini istedi. "Bir girişi kesin olarak ekarte edemiyorsanız makineyi ele geçirilmiş kabul edin" uyarısında bulundu.

Neden önemli?

Açık, kimlik doğrulama atlatma saldırıları arasında nadir görülen bir biçimde karmaşık mantık zincirlerine değil, kütüphane düzeyindeki tek bir hata davranışına dayanıyor. musl tabanlı sistemlerin yaygınlığı, özellikle gömülü cihazlarda ve hafif sunucu kurulumlarında çalışan OpenSSH servislerini risk altına alıyor. Alpine Linux ayrıca bu açığın, GitLab uygulamasındaki bir güvenlik sorununun atlatılmasından yalnızca günler sonra ortaya çıktığını belirtti.

Alpine Linux 3.21 sürümünün 1 Kasım'da destek süresinin sona erdiği, ancak şirketin 3.16'ya kadar geriye dönük düzeltilmiş paketler yayımladığı bilgisini de paylaştı.