*sshole açığı Linux'a şifresiz giriş sağlıyor

*sshole açığı, on yıllık bir zafiyetle Alpine Linux çalıştıran bazı cihazlara şifre girmeden SSH ile girilmesine izin veriyor. *sshole açığı, Alpine Linux çalıştıran bazı cihazlarda saldırganların şifre girmeden içeri sızmasına izin veriyor. On yıl önce ortaya çıkan zafiyet, diğer Linux dağıtımlarını da etkileyebilir.

Ancak bunun için aynı yapılandırmanın kullanılması gerekiyor. Zafiyet, OpenSSH ile musl arasındaki etkileşimde yer alıyor.

Öncelikle bu iki ismi tanımak gerekir. OpenSSH, SSH bağlantılarını sağlayan kod kütüphanesidir. musl ise libc kütüphanesine hafif bir alternatiftir.

Okunuşu "muscle" gibidir. Çoğu Linux dağıtımı libc kullanır.

Alpine ise musl'u tercih ediyor. Ayrıca Alpine, hafif ve yaygın kullanılan bir Linux dağıtımı olarak biliniyor.

Gelişmenin Detayları

Bu yüzden *sshole açığı, özellikle bu dağıtımı çalıştıran sistemler için önem taşıyor. Bununla birlikte musl kullanan OpenSSH'in PAM kullanmaması gerekiyor.

PAM, kullanıcı doğrulamasını ve hesap erişim denetimlerini yöneten bir çerçevedir. Aynı zamanda aynı yapılandırmayı kullanan başka platformlar da etkilenebilir.

Başarılı bir saldırı için iki koşul daha gerekiyor. İlk olarak sistemde, parolayla erişilebilen en az bir kullanıcı hesabı olmalı.

Bu parola ise SHA256 ya da SHA512 işleviyle özetlenmiş olmalı. İkinci olarak hedef hesap parolasız yapılandırılmış olmalı.

Bunun için parolaların özet değerlerini tutan /etc/shadow dosyasında parola alanına "*" yazılır. Böyle hesaplar çoğunlukla sertifika tabanlı kimlik doğrulama kullanır.

Dolayısıyla bu ayar bazı hesap türlerinde yaygın. Saldırı tek bağlantıyla işe yarıyor ve her seferinde çalışıyor.

Üstelik yeniden deneme gerektirmiyor. Bu nedenle risk, koşulları tam karşılayan sistemlerde ciddi boyuta ulaşabilir.

Etkilenen yapılandırmayı kullanan sistem yöneticileri, parolasız hesaplarını ve OpenSSH ayarlarını gözden geçirmeli. Özellikle Alpine Linux çalıştıran cihazlarda bu kontrol önem taşıyor, çünkü zafiyet on yıldır sistemde bulunuyor.

Sen olsan, sunucunda kimlik doğrulamayı gözden geçirmek için hangi adımı ilk atardın? Hesabın varsa giriş yap, adınla yorum yaz.

Yorumlar yapay zekâ destekli ön elemeden geçer; son karar moderatördedir. Topluluk kuralları