OpenSSH-Schwachstelle ermöglicht Login mit leeren Passwörtern auf bestimmten Linux-Systemen

Bedrohungsakteure haben begonnen, eine kritische Schwachstelle in OpenSSH aktiv auszunutzen, die die Authentifizierung bei Benutzerkonten ohne konfigurierte Passwörter ermöglicht. Die als CVE-2026-123158 identifizierte und unter dem Namen SSHole bekannte Sicherheitslücke zielt speziell auf Linux-Distributionen ab, die die musl-C-Bibliothek verwenden und bei denen Pluggable Authentication Modules (PAM) deaktiviert sind. Bis zum 9. November 2026 verzeichneten Sicherheitsforscher zwanzig Ausnutzungsversuche von dreizehn eindeutigen IP-Adressen aus verschiedenen Ländern.

Was passiert ist

Die Schwachstelle betrifft Systeme, auf denen OpenSSH auf der musl-C-Bibliothek läuft, insbesondere die Standardkonfiguration in Alpine Linux. Wenn Pluggable Authentication Modules (PAM) deaktiviert sind, erzwingt die Authentifizierungslogik keine korrekten Passwortanforderungen für leere Felder. Dieser Fehler ermöglicht es einem Angreifer, sich bei jedem Konto anzumelden, für das kein Passwort festgelegt wurde, und so die standardmäßigen Zugangsdatenprüfungen zu umgehen.

Obwohl das Problem eine spezifische Systemkonfiguration erfordert, stellt es ein erhebliches Risiko für containerisierte Umgebungen und leichtgewichtige Serverbereitstellungen dar, die häufig auf Alpine Linux setzen. Das Common Vulnerability Scoring System (CVSS) bewertet diese Schwachstelle mit 8,1, was einer hohen Schweregradstufe entspricht. Für die Ausnutzung sind keine komplexen Tools erforderlich; Angreifer versuchen einfach, sich mit leeren Zugangsdaten anzumelden, und nutzen die Fehlkonfiguration aus, um unbefugten Zugriff zu erlangen.

Neben diesem spezifischen OpenSSH-Problem gab es in der Woche mehrere andere bemerkenswerte Sicherheitsvorfälle. Eine trojanisierte Version des Control Web Panel Server-Daemons, cwpsrv, wurde verteilt, um eine versteckte Hintertür namens CWPdoor zu installieren. Darüber hinaus wurde eine Zero-Day-Schwachstelle in Zyxel GS1900 Netzwerk-Switches ausgenutzt, um fast tausend Geräte weltweit zu kompromittieren, wodurch Angreifer Anmeldedaten stehlen und Rootkits installieren konnten.

Wichtige Details

• Schwachstellen-ID: CVE-2026-123158, auch bekannt als SSHole.
• Betroffene Systeme: Linux-Systeme, die OpenSSH mit der musl-C-Bibliothek und deaktiviertem PAM verwenden, einschließlich Standardinstallationen von Alpine Linux.
• Auswirkung: Ermöglicht den Remote-Login bei Benutzerkonten, für die kein Passwort festgelegt ist.
• Schweregrad: CVSS-Punktzahl von 8,1.
• Aktivitätsniveau: Zwanzig erkannte Ausnutzungsversuche von dreizeinen eindeutigen IP-Adressen Stand 9. November 2026.
• Ursprungsorte: Die Versuche gingen von Dänemark, Iran, Japan, den Niederlanden, Norwegen, Singapur, Schweden, der Schweiz und den USA aus.

Hintergrund

OpenSSH ist die Standardimplementierung des Secure Shell Protokolls, die von den meisten Linux- und Unix-ähnlichen Betriebssystemen für die Fernverwaltung verwendet wird. Es basiert auf zugrunde liegenden Systembibliotheken für kryptografische Operationen und die Authentifizierungsbehandlung. Die musl-C-Bibliothek ist eine leichte, schnelle und normkonforme C-Standardbibliothek, die aufgrund ihres geringen Speicherbedarfs oft für eingebettete Systeme und Container gewählt wird. Alpine Linux, eine beliebte Distribution für Docker-Container, verwendet standardmäßig musl anstelle des verbreiteteren glibc.

Pluggable Authentication Modules (PAM) bieten einen flexiblen Mechanismus zur Benutzerauthentifizierung. Wenn PAM aktiviert ist, werden komplexe Authentifizierungsrichtlinien gehandhabt, einschließlich Passwortstärke und Ablaufdatum. Einige minimale Konfigurationen deaktivieren jedoch PAM, um Abhängigkeiten zu reduzieren oder die Leistung zu verbessern. In diesen Fällen übernimmt OpenSSH die Authentifizierung direkt. Die SSHole-Schwachstelle entsteht durch einen Logikfehler in diesem direkten Behandlungspfad bei der Interaktion mit musl, bei dem leere Passwortstrings nicht korrekt für Konten abgelehnt werden, die eigentlich Zugangsdaten erfordern sollten.

Warum es wichtig ist

Für Teams, die selbst gehostete Infrastruktur verwalten, hebt diese Schwachstelle die Risiken im Zusammenhang mit minimalen oder Standardkonfigurationen hervor. Viele Entwickler wählen Alpine Linux aufgrund seiner geringen Größe und seines guten Sicherheitsrufs und gehen davon aus, dass weniger Komponenten eine kleinere Angriffsfläche bedeuten. Dieser Vorfall zeigt jedoch, dass Standardeinstellungen manchmal unerwartete Schwächen einführen können. Wenn Ihre Server Alpine oder andere musl-basierte Distributionen verwenden und Benutzerkonten ohne Passwörter haben, sind sie sofort anfällig für eine Remote-Übernahme.

Die aktive Ausnutzung dieser Schwachstelle bedeutet, dass internetseitige Server bereits gescannt und angegriffen werden. Im Gegensatz zu theoretischen Schwachstellen wird SSHole derzeit tatsächlich im Feld eingesetzt. Für DevOps-Ingenieure und Systemadministratoren erfordert dies eine sofortige Überprüfung der Serverkonfigurationen. Es reicht nicht aus, die Software nur zu patchen; Sie müssen auch sicherstellen, dass Authentifizierungsrichtlinien korrekt durchgesetzt werden, insbesondere in Umgebungen, in denen PAM aus Gründen der Einfachheit oder Leistung absichtlich deaktiviert wurde.

Darüber hinaus dient dieses Ereignis als Erinnerung daran, dass Lieferketten- und Konfigurationshygiene entscheidend sind. In derselben Woche gab es Angriffe auf Update-Mechanismen für Web-Sicherheitssuiten und Netzwerkgeräte. Das Verlassen auf Standardeinstellungen ohne Verständnis ihrer sicherheitsrelevanten Implikationen kann Lücken hinterlassen, die Angreifer schnell ausnutzen. Teams müssen die Bequemlichkeit leichtgewichtiger Distributionen gegen das Bedürfnis nach robusten Authentifizierungskontrollen abwägen.

Was Sie tun können

• Überprüfen Sie alle Linux-Server, auf denen OpenSSH läuft, um diejenigen zu identifizieren, die die musl-C-Bibliothek verwenden, wie z. B. Alpine Linux.
• Prüfen Sie, ob Pluggable Authentication Modules (PAM) in Ihren OpenSSH-Konfigurationsdateien deaktiviert sind.
• Stellen Sie sicher, dass keine Benutzerkonten auf betroffenen Systemen mit leeren oder blanken Passwörtern konfiguriert sind.
• Installieren Sie umgehend die neuesten Sicherheitspatches für OpenSSH, die von Ihrem Distributionsanbieter bereitgestellt werden.
• Überwachen Sie Zugriffsprotokolle auf fehlgeschlagene oder erfolgreiche Anmeldeversuche von unbekannten IP-Adressen, insbesondere solche, die in aktuellen Bedrohungsberichten aufgeführt sind.
• Erwägen Sie die Aktivierung von PAM oder den Wechsel zu einer glibc-basierten Distribution, wenn Ihre Sicherheitsrichtlinie eine strenge Durchsetzung von Passwörtern erfordert und Sie nicht garantieren können, dass alle Konten starke Zugangsdaten haben.