OpenSSH: إمكانية تجاوز المصادقة بكلمة المرور على أنظمة Linux التي تستخدم musl دون PAM، بحسب تحذير CERT-FR

رصد Top-Secured السيبراني: تحليل مستقل يستند إلى المصادر المذكورة أدناه. Top-Secured غير تابعة للشركات المذكورة ولن تطلب منك أبدًا بياناتك المصرفية أو كلمات مرورك.

أصدر OpenSSH في 5 نوفمبر 2026 الإصدار 10.6p2 لسد ثغرة تجاوز للمصادقة بكلمة المرور في sshd تطال أنظمة Linux المبنية على مكتبة C ‏musl دون PAM، مثل كثير من خوادم Alpine وحاوياتها. وأصدر CERT-FR تنبيهًا في اليوم نفسه، معتبرًا الاستغلال سهلًا متى توفرت الشروط.

ماذا حدث

في 5 نوفمبر 2026 نشر مشروع OpenSSH الإصدار المحمول OpenSSH 10.6p2 الذي يصحح ثغرة تجاوز للمصادقة بكلمة المرور يمكن استغلالها عبر sshd. وبحسب ملاحظات الإصدار، يقع أصل المشكلة خارج OpenSSH، لكن sshd عُدِّل لتفاديها. وفي اليوم نفسه نشر CERT-FR التنبيه CERTFR-2026-ALE-015: جميع الإصدارات السابقة لـ10.6p2 متأثرة، والاستغلال يوصف بأنه سهل عند توفر الشروط. لم يُذكر أي معرّف CVE، ولا يشير أي من المصدرين إلى هجمات حتى الآن.

من المتأثر

لا تتأثر سوى أنظمة Linux التي تستخدم مكتبة C ‏musl وتشغّل sshd دون PAM. وبحسب الباحث الذي اكتشف الثغرة، تفشل الدالة crypt() في musl مع كلمات المرور التي تتجاوز 256 بايت وتُرجع *، وهي القيمة نفسها التي تدل في /etc/shadow على حساب بلا كلمة مرور صالحة. وهكذا يمكن للمهاجم الدخول إلى مثل هذا الحساب (مستخدمون يعتمدون المفاتيح فقط، أو root في إصدارات Alpine الحديثة بحسب الباحث) بكلمة مرور مفرطة الطول، شرط أن تكون المصادقة بكلمة المرور مفعّلة. ويذكر الباحث Alpine وOpenWrt وBuildroot وYocto وصور Docker المبنية عليها. أما التوزيعات المعتمدة على glibc والإعدادات التي تستخدم PAM وDropbear فغير متأثرة بحسب التحليل نفسه.

ماذا تفعل الآن

1. حدّد الأنظمة المكشوفة: يعرض ldd --version اسم musl على المنصات المعنية؛ وافحص sshd -T | grep -Ei 'usepam|passwordauthentication'.
2. حدّث: apk upgrade openssh، ثم تأكد أن ssh -V يعرض 10.6p2. وأعد بناء صور الحاويات التي تتضمن sshd ونشرها.
3. إذا تعذّر التحديث فورًا، عطّل الدخول بكلمة المرور بإضافة PasswordAuthentication no في ملف ضمن /etc/ssh/sshd_config.d/ ثم أعد تشغيل sshd (rc-service sshd restart). وإلا فإن CERT-FR يوصي بإيقاف خدمة SSH.
4. ابحث عن آثار: اعرض الحسابات التي قيمة حقل كلمة مرورها * (grep -E '^[^:]+:\*:' /etc/shadow | cut -d: -f1) وابحث عن أسطر Accepted password for الخاصة بها في /var/log/messages، كما يقترح CERT-FR.

رأينا

الصور الخفيفة منتشرة في كل مكان، في الحاويات والأجهزة، وهي ترث الإعدادات الافتراضية لنظامها الأساسي، بما فيها SSH دون PAM. يجب فرض المصادقة بالمفاتيح وحدها صراحةً في الإعدادات لا افتراضها: فمع PasswordAuthentication no ما كانت لهذه الثغرة أي أثر.

المصادر

• CERT-FR — CERTFR-2026-ALE-015 : Vulnérabilité dans OpenSSH
• OpenSSH — Release notes for OpenSSH 10.6p2
• sshhole — OpenSSH password bypass on musl libc (researcher write-up)

كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←