musl libc వాడుతూ PAM లేకుండా నడిచే కొన్ని ప్రత్యేక Linux సిస్టమ్‌లలో, ఒక OpenSSH ఆథెంటికేషన్ లోపం అనధికార SSH యాక్సెస్‌కు దారితీయవచ్చు. ఎక్స్‌ప్లాయిటేషన్ ప్రయత్నాలు గమనించారు. అడ్మినిస్ట్రేటర్లు తమ సిస్టమ్‌లు ప్రమాదానికి గురయ్యే అవకాశం (exposure) ఉందో లేదో నిర్ధారించుకోవాలి, వెండర్ ఫిక్స్‌ను అప్లై చేయాలి, SSH డెమన్‌ను (daemon) రీస్టార్ట్ చేయాలి.
2026 నవంబర్ 5న, ఒక పాస్‌వర్డ్ ఆథెంటికేషన్ బైపాస్ (authentication bypass) సమస్యను సరిచేయడానికి OpenSSH వెర్షన్ 10.6p2ను విడుదల చేసింది. CVE-2026-123158గా ట్రాక్ చేస్తున్న ఈ సమస్య వల్ల, సరైన పాస్‌వర్డ్ తెలియకుండానే దాడిచేసేవారు కొన్ని ఖాతాల్లోకి ప్రవేశించే అవకాశం ఉంది. ప్రభావిత డిస్ట్రిబ్యూషన్‌లలో Alpine Linux ప్రత్యేకంగా ముఖ్యమైనది, ఎందుకంటే దాని ప్రామాణిక OpenSSH సర్వర్ ప్యాకేజీ PAM లేకుండా బిల్డ్ అవుతుంది.
Alpine కూడా musl అనే కాంపాక్ట్ C స్టాండర్డ్ లైబ్రరీపై నిర్మితమైంది. C లైబ్రరీ అంటే ప్రోగ్రామ్‌లు ఆధారపడే ప్రాథమిక ఫంక్షన్‌ల సమితి, పాస్‌వర్డ్‌లను హ్యాష్ చేసే ఫంక్షన్ కూడా అందులోనే ఉంటుంది. Red Hat బిల్డ్‌లు glibc అనే వేరే లైబ్రరీని వాడతాయి, ఈ వ్యాసంలో తర్వాత ఈ విషయం ముఖ్యమవుతుంది.
ఇది అన్ని OpenSSH సిస్టమ్‌లకూ వర్తించే సార్వత్రిక రాజీ (universal compromise) కాదు. ఒక సిస్టమ్ ప్రమాదంలో ఉండాలంటే అది ఆథెంటికేషన్‌కు, ఖాతాలకు సంబంధించిన అనేక షరతులను తీర్చాలి. కానీ ప్రభావిత సిస్టమ్‌లలో, అనధికార ఖాతా యాక్సెస్ సున్నితమైన ఫైల్‌లకు లేదా ఎక్కువ అధికారాలకు (elevated privileges) దారి కావచ్చు.
OpenSSH విడుదల నోట్స్ వర్క్‌అరౌండ్‌ను ధృవీకరిస్తున్నాయి. Alpine నవంబర్ 5 అడ్వైజరీ ప్రభావిత కాన్ఫిగరేషన్‌లను, సరిచేసిన ప్యాకేజీలను, తప్పనిసరిగా చేయాల్సిన నివారణ చర్యలను గుర్తిస్తుంది.
లోపం ఒక్క చూపులో
| వివరం | మూలాలు చెబుతున్నది |
|---|---|
| గుర్తింపు సంఖ్య | CVE-2026-123158 |
| వెల్లడి | 2026 నవంబర్ 5 (OpenSSH విడుదల, Alpine అడ్వైజరీ. అప్పటికి ఇంకా CVE గుర్తింపు సంఖ్య కేటాయించలేదని ఆ అడ్వైజరీ పేర్కొంది) |
| బలహీనత | పాస్‌వర్డ్ ఆథెంటికేషన్ బైపాస్ |
| సంబంధిత సిస్టమ్‌లు | PAM నిలిపివేసి musl libc వాడే OpenSSH, కింద ఇచ్చిన అదనపు షరతులు కూడా ఉన్నప్పుడు |
| సంభావ్య ప్రభావం | అనధికార ఖాతా లాగిన్, ఖాతా అనుమతులు వీలు కల్పించిన చోట ఆ తర్వాత ప్రివిలేజ్ ఎస్కలేషన్ (privilege escalation) కూడా జరగవచ్చు |
| అప్‌స్ట్రీమ్ సవరణ | Portable OpenSSH 10.6p2 |
| కార్యకలాపం | ఎక్స్‌ప్లాయిటేషన్ ప్రయత్నాలతో పొంతన ఉన్న హనీపాట్ పరిశీలనలు, విస్తృత రాజీకి రుజువు కాదు |
| అడ్మినిస్ట్రేటివ్ చర్య | కాన్ఫిగరేషన్‌ను అంచనా వేయండి, ప్యాకేజీలను అప్‌డేట్ చేయండి, sshd (SSH సర్వర్ ప్రోగ్రామ్) ను రీస్టార్ట్ చేయండి, అనుమానాస్పద ఆథెంటికేషన్ కార్యకలాపాన్ని పరిశీలించండి |
ఒక సిస్టమ్ ప్రభావితం కావడానికి కావాల్సిన షరతులు
Alpine తన ప్రభావిత కాన్ఫిగరేషన్‌లో ఈ కింది షరతులు అన్నింటినీ గుర్తిస్తుంది:
- SSH సర్వర్ PAM కాని ఆథెంటికేషన్ మార్గాన్ని వాడుతుంది. Alpine
openssh-server, లేదాUsePAM noతో కాన్ఫిగర్ చేసిన దాని PAM సపోర్ట్ ఉన్న బిల్డ్ ఇందులోకి వస్తాయి. PasswordAuthentication yesసంబంధిత పాస్‌వర్డ్ లాగిన్ మార్గాన్ని అనుమతిస్తుంది.- లక్ష్యంగా ఉన్న ఒక ఖాతా పాస్‌వర్డ్ ఫీల్డ్‌లో
*ఉంటుంది. అలాంటి ఖాతాలు పాస్‌వర్డ్ లాగిన్ కోసం కాకుండా SSH కీ యాక్సెస్ కోసం ఉద్దేశించినవి కావచ్చు. - కనీసం మరో ఒక లోకల్ ఖాతాకు
$5$(SHA-256) లేదా$6$(SHA-512) పాస్‌వర్డ్ హ్యాష్ ఉంటుంది. - దాడిచేసేవారు SSH సర్వీస్‌ను చేరుకోగలరు, వారి వద్ద వాడదగిన లక్ష్య ఖాతా పేరు ఉంటుంది.
PAM అంటే Pluggable Authentication Modules. కాన్ఫిగర్ చేసిన ఆథెంటికేషన్ విధానాలను అప్లికేషన్‌లు వాడుకోవడానికి వీలు కల్పించే ఫ్రేమ్‌వర్క్ ఇది. PAM నిలిపివేసినప్పుడు, ప్రభావిత ప్రవర్తన వేరే మార్గం ద్వారా జరుగుతుంది.
ఒక సిస్టమ్ Alpine వాడుతున్నంత మాత్రాన లేదా అందులో musl లైబ్రరీ ఉన్నంత మాత్రాన, ఈ ప్రత్యేక మార్గం ద్వారా అది ప్రమాదంలో ఉన్నట్లు కాదు. sshd నడపని కంటైనర్‌లు SSH సర్వర్‌లుగా ప్రభావితం కావు. PasswordAuthentication no ను, అలాగే UsePAM yesతో PAM ఎనేబుల్ చేసిన సర్వర్‌ను, ఈ సమస్య ప్రభావితం చేయని కాన్ఫిగరేషన్‌లుగా Alpine పేర్కొంటుంది.
RHEL సహా తమ ఉత్పత్తులు ప్రభావితం కావని Red Hat నివేదిస్తోంది, ఎందుకంటే వాటి OpenSSH బిల్డ్‌లు glibcతో లింక్ అవుతాయి, డిఫాల్ట్‌గా PAM వాడతాయి. మూలం: Alpine అడ్వైజరీ, Red Hat CVE అంచనా.
బైపాస్ ఎలా పనిచేస్తుంది
Linux సాధారణంగా అసలు పాస్‌వర్డ్‌ను కాకుండా, పాస్‌వర్డ్ నుండి లెక్కించిన ఒక విలువ అయిన పాస్‌వర్డ్ హ్యాష్ (password hash) ను నిల్వ చేస్తుంది. కొన్ని ఖాతాలకు ఉద్దేశపూర్వకంగానే వాడదగిన పాస్‌వర్డ్ హ్యాష్ ఉండదు. వాటి పాస్‌వర్డ్ ఫీల్డ్‌లో బదులుగా * అనే ప్రత్యేక గుర్తు ఉండవచ్చు, అది పాస్‌వర్డ్ లాగిన్‌ను అనుమతించకూడదు.
musl లైబ్రరీలోని crypt() ఫంక్షన్‌కు అసాధారణంగా పొడవైన పాస్‌వర్డ్ ఇచ్చినప్పుడు, అది కూడా ఎర్రర్ సూచనగా * ను తిరిగి ఇవ్వవచ్చు. లోపం ఉన్న PAM కాని OpenSSH పాస్‌వర్డ్ తనిఖీ మార్గంలో, ఆ ఎర్రర్ ఫలితాన్ని ఖాతాలో నిల్వ ఉన్న * గుర్తుతో సరిపోలినట్లుగా పొరపాటుగా పరిగణించవచ్చు. అనుకూలమైన పాస్‌వర్డ్ హ్యాష్ వాడే మరో లోకల్ ఖాతా కూడా ఉండటం, నివేదించిన షరతుల్లో భాగం.
ఫలితం ఒక తీవ్రమైన ట్రస్ట్ బౌండరీ (trust boundary) వైఫల్యం: ఖాతాకు సరైన పాస్‌వర్డ్ లేకపోయినా, కింది స్థాయి లైబ్రరీ నుండి వచ్చిన ఎర్రర్‌ను విజయవంతమైన ఆథెంటికేషన్‌కు రుజువుగా పరిగణించవచ్చు. అసలు కారణం sshd బయట ఉందని, కానీ ఆ సురక్షితం కాని ప్రవర్తనను అక్కడే నిరోధించవచ్చని OpenSSH 10.6p2 నోట్స్ చెబుతున్నాయి.
ఈ లోపం సాఫ్ట్‌వేర్ సెక్యూరిటీలోని ఒక సాధారణ నియమాన్ని చూపిస్తుంది: ఎర్రర్ స్థితిని ఎప్పుడూ విజయవంతమైన ఆథరైజేషన్‌గా లేదా ఆథెంటికేషన్‌గా అర్థం చేసుకోకూడదు.
ఎక్స్‌ప్లాయిటేషన్ పరిశీలనలు, అవి ఏం రుజువు చేస్తాయి
నవంబర్ 8న, SANS Internet Storm Center తన Cowrie SSH హనీపాట్‌లు (honeypots) సేకరించిన పొడవైన పాస్‌వర్డ్ కార్యకలాపాన్ని నివేదించింది. హనీపాట్‌లు అంటే దాడిచేసేవారు ఏం ప్రయత్నిస్తారో నమోదు చేసే ఎర సర్వర్‌లు (decoy servers). అది ప్రచురించిన లెక్కలు: నవంబర్ 4న 58, నవంబర్ 5న 232, నవంబర్ 6న 713, నవంబర్ 7న 246, నవంబర్ 8న 15:44 UTC నాటి నివేదిక అప్‌డేట్ వరకు 51.
ఇవి పొడవైన పాస్‌వర్డ్ పరిశీలనలు మాత్రమే. ఇవి ధృవీకరించిన విజయవంతమైన రాజీలు కావు, పూర్తిగా ఈ CVEకి సంబంధించిన ప్రయత్నాలు మాత్రమే అని కూడా చెప్పలేము. అంతకుముందు జరిగిన కొంత కార్యకలాపానికి దీనితో సంబంధం లేదని SANS పేర్కొంది. ఈ లోపానికి ప్రత్యేకమైన పద్ధతిని మొదటిసారిగా గుర్తించదగిన విధంగా వాడింది నవంబర్ 5న అని అది గుర్తించింది. నవంబర్ 8 నాటి పాక్షిక లెక్కను అంతకుముందు పూర్తి రోజుల లెక్కలతో నేరుగా పోల్చలేము.
దాడిపై ఆసక్తి ఉందని నిర్ధారించడానికి, వేగవంతమైన రక్షణ చర్యను సమర్థించడానికి ఈ పరిశీలన సరిపోతుంది. ప్రపంచవ్యాప్తంగా ఎంత మేర ఎక్స్‌ప్లాయిటేషన్ జరిగిందో గానీ, ఎన్ని ప్రొడక్షన్ సిస్టమ్‌లు రాజీ పడ్డాయో గానీ ఇది నిర్ధారించదు.
ప్యాచ్ వెర్షన్‌లు, తక్షణ ఉపశమన చర్య
అప్‌స్ట్రీమ్ సెక్యూరిటీ సవరణ OpenSSH 10.6p2లో ఉంది. Linux డిస్ట్రిబ్యూటర్‌లు ఆ ఫిక్స్‌ను బ్యాక్‌పోర్ట్ (backport) చేయవచ్చు, అంటే పాత అప్‌స్ట్రీమ్ వెర్షన్ నంబర్‌లు ఉన్న ప్యాకేజీలకు దాన్ని వర్తింపజేయడం.
Alpine ఈ సరిచేసిన ప్యాకేజీ రివిజన్‌లను ప్రచురించింది:
| Alpine బ్రాంచ్ | సరిచేసిన OpenSSH ప్యాకేజీ |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
మరిన్ని పాత బ్రాంచ్‌లు పూర్తి Alpine ప్యాచ్ మ్యాట్రిక్స్లో ఉన్నాయి. 10.6p2 కంటే తక్కువ ఏ వెర్షన్ అయినా ప్యాచ్ కానిదే అని ఊహించుకోకుండా, అసలు డిస్ట్రిబ్యూషన్ అడ్వైజరీని, ఇన్‌స్టాల్ అయిన ప్యాకేజీ రివిజన్‌ను తనిఖీ చేయండి.
Alpine కోసం, దాని అడ్వైజరీ ఈ అప్‌గ్రేడ్, సర్వీస్ రీస్టార్ట్ క్రమాన్ని ఇస్తుంది:
apk upgrade -U -a
rc-service sshd restartనడుస్తున్న డెమన్‌ను రీస్టార్ట్ చేయడం తప్పనిసరి. ప్యాకేజీని అప్‌డేట్ చేసినంత మాత్రాన ఇప్పటికే నడుస్తున్న sshd ప్రాసెస్ మారదని Alpine స్పష్టంగా హెచ్చరిస్తుంది. ధృవీకరించిన కన్సోల్ లేదా ప్రత్యామ్నాయ మేనేజ్‌మెంట్ మార్గం అందుబాటులో ఉంచుకుని, అధికారిక మెయింటెనెన్స్ ప్రక్రియ ద్వారా మార్పులను అప్లై చేయండి.
ప్యాచింగ్‌ను ఆలస్యం చేయాల్సి వస్తే, అమలులో ఉన్న sshd కాన్ఫిగరేషన్‌లో PasswordAuthentication no సెట్ చేసి SSH పాస్‌వర్డ్ ఆథెంటికేషన్‌ను నిలిపివేయాలని Alpine సిఫార్సు చేస్తుంది. సర్వీస్‌ను రీస్టార్ట్ లేదా రీలోడ్ చేసే ముందు, లాక్ అయిపోకుండా ఉండటానికి SSH కీ యాక్సెస్ పనిచేస్తోందని ధృవీకరించుకోండి, పనిచేస్తున్న ఒక అడ్మినిస్ట్రేటివ్ సెషన్‌ను తెరిచే ఉంచండి. ఇది తాత్కాలిక ఉపశమన చర్య (mitigation) మాత్రమే, సెక్యూరిటీ అప్‌డేట్‌ను నిరవధికంగా వాయిదా వేయడానికి కారణం కాదు.
అనధికార యాక్సెస్ జరిగిందేమో పరిశోధించడం
ప్యాచింగ్ ఇకపై తెలిసిన లోపం ఉన్న మార్గాన్ని అడ్డుకుంటుంది. అంతకుముందు జరిగిన ఏ అనధికార లాగిన్‌నూ అది రద్దు చేయదు.
ప్రమాద షరతులను తీర్చిన సిస్టమ్‌ల విషయంలో, కీలను మాత్రమే అంగీకరించాల్సిన ఖాతాలతో జరిగిన విజయవంతమైన పాస్‌వర్డ్ లాగిన్‌ల కోసం SSH ఆథెంటికేషన్ రికార్డులను సమీక్షించండి. వివరణ లేని ఖాతా మార్పులు లేదా authorized key మార్పులు, అధికారాలను పెంచుకునే కార్యకలాపం, అనుమానాస్పద ఫైల్ మార్పులను కూడా పరిశోధించండి. ఊహించని ఒక్క లాగ్ ఈవెంట్ పరిశోధనకు అర్హమైనదే, కానీ అది ఒక్కటే ఈ CVE ఎక్స్‌ప్లాయిట్ అయిందనడానికి రుజువు కాదు. ఎక్స్‌ప్లాయిట్ అయిన లోపానికి ఫిక్స్ వచ్చాక ఏం చేయాలి అనే మా వ్యాసం ఎడ్జ్ డివైస్‌ల విషయంలో ఇదే సూత్రాన్ని వివరిస్తుంది: ఫిక్స్ రాకముందు ఎవరు లోపలికి వచ్చారో ఫిక్స్ మీకు చెప్పదు.
కొన్ని అధికారిక tiny-cloud ఇమేజ్‌ల (Alpine క్లౌడ్ వర్చువల్ మెషిన్ ఇమేజ్‌లు) విషయంలో Alpine ఒక అదనపు ఆందోళనను ప్రస్తావిస్తుంది. వాటిలోని alpine ఖాతాకు వాడదగిన పాస్‌వర్డ్ లేకపోవచ్చు, అదే సమయంలో దానికి పాస్‌వర్డ్ అవసరం లేని doas అధికారాలు ఉండవచ్చు (doas అనేది ఒక యూజర్ అడ్మినిస్ట్రేటర్‌గా కమాండ్‌లు నడపడానికి వీలు కల్పించే టూల్). ఆ ఇమేజ్‌లు మొదటి బూట్‌లోనే తప్పనిసరిగా ఎక్స్‌ప్లాయిట్ చేయదగినవి కావు, కానీ ఖాతా, పాస్‌వర్డ్ హ్యాష్ స్థితుల ప్రభావిత కలయిక ప్రభావాన్ని మరింత తీవ్రం చేయవచ్చు.
3.21.10, 3.22.8, 3.23.8, 3.24.4 లేదా ఆ తర్వాతి వెర్షన్‌ల నుండి బిల్డ్ చేసిన ఇమేజ్‌లలో సరిచేసిన ప్యాకేజీ ఉంటుందని Alpine చెబుతోంది. అంతకుముందు ఇమేజ్‌ల నుండి ప్రారంభించిన ఇన్‌స్టాన్స్‌లకు ఇప్పటికీ ప్యాకేజీ అప్‌డేట్ గానీ, పాస్‌వర్డ్ సెట్టింగ్ మార్పు గానీ అవసరం. Alpine ప్రభావం, గుర్తింపు మార్గదర్శకత్వం చూడండి.
అడ్మినిస్ట్రేటర్లు ఇప్పుడు ఏం చేయాలి
Alpine లేదా సంబంధిత ఇతర musl ఆధారిత SSH డిప్లాయ్‌మెంట్‌లను నడిపే సంస్థలు ఈ ఐదు దశలను అనుసరించవచ్చు:
- డాక్యుమెంట్ చేసిన షరతులు ఉన్నాయో లేదో నిర్ణయించండి.
- వెండర్ సరిచేసిన ప్యాకేజీని అప్లై చేయండి.
- అసలు SSH డెమన్‌ను, అంటే నడుస్తున్న ప్రాసెస్‌ను రీస్టార్ట్ చేయండి.
- అమలులో ఉన్న ఆథెంటికేషన్ కాన్ఫిగరేషన్‌ను ధృవీకరించండి.
- ఇంతకుముందు ప్రమాదానికి గురై ఉండే అవకాశం ఉన్న చోట ఆథెంటికేషన్ లాగ్‌లను సమీక్షించండి.
ప్రతి OpenSSH ఇన్‌స్టాలేషన్‌నూ రాజీ పడినదిగా పరిగణించడానికి ఎలాంటి ఆధారం లేదు. అలాగే, సర్వర్ ఇంకా లోపం ఉన్న పాస్‌వర్డ్ ఆథెంటికేషన్ మార్గాన్ని అనుమతిస్తుంటే, SSH కీ మాత్రమే వాడే ఖాతా సురక్షితంగా ఉందని భావించడానికి కూడా ఆధారం లేదు. Alpine లేదా మరో musl సిస్టమ్‌పై ఏ SSH సర్వర్‌నూ నడపని టీమ్‌లు ఈ ప్రత్యేక సమస్య కోసం చేయాల్సిన చర్య ఏదీ లేదు, వారు దీన్ని ఒక కేస్ స్టడీగా చూడవచ్చు.
తక్షణ ప్రాధాన్యం: కాన్ఫిగరేషన్‌కు అనుగుణమైన అంచనా, వెండర్ ప్యాచింగ్, నడుస్తున్న సర్వీస్ ధృవీకరణ.
మరింత లోతుగా
- Alpine Linux సెక్యూరిటీ అడ్వైజరీ, 2026 నవంబర్ 5: ప్రభావిత కాన్ఫిగరేషన్‌లు, సాంకేతిక వివరణ, సరిచేసిన వెర్షన్‌లు, నివారణ, గుర్తింపు.
- OpenSSH portable 10.6p2 విడుదల నోట్స్, 2026 నవంబర్ 5: అప్‌స్ట్రీమ్ వర్క్‌అరౌండ్, సాంకేతిక పరిమితులు.
- Red Hat CVE-2026-123158 అంచనా: డిస్ట్రిబ్యూషన్ వారీగా వర్తింపు.
- SANS ISC, 2026 నవంబర్ 8: గమనించిన స్కానింగ్, ఆధారాల పరిమితులు.