نشرة مركز الاستجابة الأمنية كارن آي تي (KSRC)

رقم الإرشاد: KSRC-2026-11061 | تاريخ النشر: 06 نوفمبر 2026

تجاوز مصادقة كلمة المرور في OpenSSH على أنظمة لينكس المعتمدة على musl
CVE-2026-123158 (sshole)

الملخص

تم اكتشاف ثغرة عالية الخطورة لتجاوز المصادقة في OpenSSH تسمح لمهاجم عن بُعد غير مصادق عليه بتسجيل الدخول إلى حسابات معينة من خلال تقديم كلمة مرور طويلة جداً. تحمل هذه الثغرة المعرّف CVE-2026-123158 (المعروفة أيضاً باسم sshole) وقد تم تقييمها بدرجة خطورة 8.1 (عالية) وفق معيار CVSS v3.1.

تؤثر المشكلة على إصدارات OpenSSH السابقة لـ 10.6p2 عند تشغيلها على أنظمة لينكس تستخدم musl libc ولا تستخدم PAM. المنصة الأكثر شيوعاً المتأثرة هي Alpine Linux. تم رصد استغلال في الطبيعة خلال ساعات من الإفصاح العلني.

نظرة تقنية

تنبع الثغرة من معالجة غير صحيحة للتحقق من كلمة المرور في sshd عند استخدام تنفيذ crypt() الخاص بـ musl دون PAM. بالنسبة لتكوينات حسابات معينة (خاصة تلك التي يكون حقل كلمة المرور في shadow فيها بالضبط *)، يتم التعامل بشكل خاطئ مع أي كلمة مرور يتراوح طولها تقريباً بين 256 و1024 حرفاً على أنها هاش كلمة مرور صالح ويتم قبولها.

يحتاج المهاجم الذي يمكنه الوصول إلى خدمة SSH فقط إلى اسم المستخدم لحساب مناسب وسلسلة عشوائية طويلة ككلمة مرور. لا يلزم معرفة كلمة المرور الحقيقية أو المفتاح الخاص أو أي بيانات اعتماد أخرى. على العديد من الأنظمة المعتمدة على Alpine يمكن أن يؤدي ذلك إلى وصول فوري إلى shell، وفي التكوينات الشائعة، إلى تصعيد الصلاحيات لاحقاً إلى root.

الأنظمة التي تستخدم glibc (Debian، Ubuntu، RHEL، Fedora، Amazon Linux وغيرها) غير متأثرة. تقتصر الثغرة على بيئات musl دون PAM.

الأنظمة المتأثرة

• OpenSSH قبل الإصدار 10.6p2
• يعمل على لينكس مع musl libc
• PAM معطّل أو غير مُجمّع (UsePAM no أو ما يعادله)
• مصادقة كلمة المرور مفعّلة (الافتراضي في العديد من التكوينات)

الإصدار المُصلح: OpenSSH 10.6p2 (صدر في 5 نوفمبر 2026). أصدرت Alpine Linux وتوزيعات أخرى معتمدة على musl حزم مُصلحة لفروعها المدعومة.

تشمل البيئات المتأثرة بشكل شائع حاويات Alpine Linux، وبعض الأنظمة المدمجة، وOpenWrt في تكوينات معينة.

حالة الاستغلال

• الإفصاح العلني وإصدار التصحيح في 5 نوفمبر 2026.
• رصد استغلال نشط بعد أقل من 9 ساعات من الإفصاح.
• تأكيد نجاح الوصول بمستوى root على honeypots تعمل بـ Alpine Linux.
• مواد إثبات المفهوم ومختبرات إعادة الإنتاج متاحة علناً.
• لم تُدرج بعد في كتالوج CISA KEV حتى تاريخ نشر هذا الإرشاد.

التوصيات

1. الإجراء الفوري: قم بترقية OpenSSH إلى الإصدار 10.6p2 أو أحدث، أو طبق التحديث الأمني المقدم من توزيعتك (مهم بشكل خاص لـ Alpine Linux والأنظمة الأخرى المعتمدة على musl).
2. أعد تشغيل خدمة sshd بعد التحديث للتأكد من تشغيل الملف الثنائي المُصلح.
3. إذا لم يكن الترقية الفورية ممكنة، عطّل مصادقة كلمة المرور عن طريق تعيين PasswordAuthentication no في sshd_config والاعتماد على المصادقة بالمفتاح، أو فعّل PAM إذا كان ذلك ممكناً.
4. راجع سجلات SSH بحثاً عن عمليات تسجيل دخول ناجحة استخدمت كلمات مرور طويلة بشكل غير معتاد أو نشأت من عناوين مصدر غير متوقعة حول وبعد 5 نوفمبر 2026.
5. راجع الحسابات التي يكون حقل كلمة مرورها * وتأكد من أنها لا تسمح بتسجيل دخول تفاعلي إذا لم يكن ذلك مطلوباً.
6. بالنسبة لبيئات الحاويات، أعد بناء ونشر الصور التي تحتوي على حزم OpenSSH ضعيفة.
7. في حال الاشتباه في حدوث اختراق، تعامل مع النظام على أنه مخترق: دوّر بيانات الاعتماد، وراجع سلامة العمليات والملفات، وتحقق من أي نشاط إضافي.

على الرغم من أن الثغرة تقتصر على تكوينات محددة، إلا أن Alpine Linux والحاويات المعتمدة على musl تُستخدم على نطاق واسع في بيئات السحابة وDevOps. ينبغي على المؤسسات التي تشغّل مثل هذه الأنظمة التعامل مع هذا كتصحيح ذي أولوية عالية.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.