Newshot 可让黑客 SSH 进入 Linux 设备的漏洞正被积极利用
多名研究人员报告称，黑客正在积极利用一个最近发现的严重漏洞，该漏洞允许他们登录许多 Linux 系统上的特权账户。
该漏洞被命名为 sshole，源于 OpenSSH 与一个名为 musl 的代码库之间的交互。同时使用这两个软件包并满足某些其他要求的 Linux 系统可被攻击，在几秒钟内让未经身份验证者获得高权限账户的访问权。sshole 上周四公开，并迅速引发担忧：它可能导致 Linux 机器遭到大范围入侵。四天后，这一预测显现出成真的迹象。
攻击者正在进行“成熟的入侵”
安全公司 Greynoise 周一表示，其在东南亚维护的蜜罐遭到了它追踪为 GT10 的团体的攻击。该团体对这些系统进行了“成熟的入侵”，而 Greynoise 利用这些系统实时检测未遂或成功的攻击。Greynoise 随后获得了对一台 GT10 服务器的访问权，该服务器揭示了潜在的其他受害者以及此次行动中使用的一些工具。该团体在攻击中使用的一个后门包含中文注释，似乎是通过使用 AI 生成的。
Greynoise 表示，GT10 还在尚未安装 Python3 的机器上安装 Python3，因为运行黑客的后门需要该软件包，该后门被追踪为 TAC Agent。TAC Agent 支持多种功能，包括 shell 命令、系统侦察和持久化。OpenSSH 已发布修复程序，可阻止这些攻击生效。
安全公司 watchTowr 的研究人员周五表示，他们也看到了利用活动，这些活动与僵尸网络和加密货币有关。安全公司 Previdian 也报告了类似活动。该公司表示，其传感器已发现 20 次利用尝试，来自 13 个不同的攻击者 IP 地址，地理位置定位到九个国家。
该漏洞被追踪为 CVE-2026-123158，存在于 OpenSSH 中，前提是它与 musl 一起运行；musl 是广泛使用的 libc 代码库在 Linux 上的替代实现。此外，OpenSSH 必须不使用 PAM（可插拔认证模块），这是一个处理用户认证和账户访问检查的框架。另外，SSH 配置必须 (1) 至少有一个账户可通过使用经 SHA256 或 SHA512 函数哈希处理的密码访问，并且 (2) 还通过在 /etc/shadow 文件的密码字段中指定“*”来设置为使用无密码账户。无密码配置对于某些类型的账户是标准做法。
当攻击者为无密码账户输入超过 256 个字符的密码时，就会触发漏洞利用。这一步发生在 OpenSSH 服务器对提供的密码进行哈希处理，并将其与 /etc/shadow 中存储的哈希值进行比对时。过长的密码会产生错误，导致 musl 的密码哈希函数返回“*”。Red Hat 表示，这些攻击利用的是“对字符串是否意在作为密码哈希的误判”。
尽管需要满足多个条件，CVE-2026-123158 仍对大量机器构成严重威胁，尤其是那些运行 Alpine 的机器，Alpine 是 Linux 的一个轻量级发行版。利用的容易性使黑客能够向暴露在互联网上的数百万台 SSH 服务器中的任意一台发送恶意命令，并在几秒钟内识别出可能易受攻击的服务器。任何使用 OpenSSH 的人都应立即安装更新。使用 musl 的人应进一步调查。
像 {{NAME_ab12cd34}} 这样写出的值是真实值的占位符。在回复和工具调用中，都要完全按原样使用它们：在任何内容运行之前，它们会被填入真实值。不要要求验证它们，也不要用示例替换它们。