Vulnerabilitate critică în Linux: hackerii pot obține acces la servere fără parolă. Atacurile au început deja

O vulnerabilitate de securitate descoperită recent în anumite sisteme Linux le poate permite atacatorilor să obțină acces la conturi fără să cunoască parola utilizatorului. Problema este cu atât mai gravă cu cât primele tentative de exploatare au fost deja confirmate de mai multe companii specializate în securitate cibernetică.

Identificată prin codul CVE-2026-123158, vulnerabilitatea afectează modul în care două componente software, OpenSSH și musl, interacționează în timpul procesului de autentificare. În anumite configurații, o eroare de verificare a parolei poate permite accesul neautorizat inclusiv la conturi cu privilegii ridicate.

Problema a devenit publică joia trecută și a atras rapid atenția comunității de securitate informatică. Specialiștii avertizează că numărul sistemelor potențial expuse ar putea fi semnificativ, în special în cazul serverelor conectate direct la internet, care pot fi identificate și verificate automat de atacatori.

Primele atacuri informatice au fost deja confirmate

Compania de securitate Greynoise a anunțat că serverele sale de monitorizare din Asia de Sud-Est au fost vizate de un grup de atacatori identificat sub numele GT10.

Aceste infrastructuri sunt utilizate pentru monitorizarea tentativelor de intruziune și pentru analizarea metodelor prin care infractorii informatici încearcă să compromită sistemele conectate la internet.

Cercetătorii au descris activitatea drept o serie de atacuri complexe. Echipa Greynoise a reușit inclusiv să obțină acces la unul dintre serverele utilizate de atacatori, unde a identificat indicii despre alte posibile victime și despre instrumentele folosite în campanie.

Printre programele descoperite se numără TAC Agent, un instrument de acces la distanță care le permite atacatorilor să execute comenzi, să colecteze informații despre sistemele compromise și să mențină accesul după infiltrarea inițială.

Analiza codului a scos la iveală comentarii scrise în limba chineză, iar cercetătorii au observat indicii că programul ar fi fost dezvoltat cu ajutorul inteligenței artificiale.

Greynoise a mai constatat că atacatorii instalează Python 3 pe sistemele care nu au deja această componentă, deoarece programul TAC Agent depinde de ea pentru a funcționa.

Informațiile despre campania de atac au fost prezentate și de publicația Ars Technica, care a urmărit evoluția vulnerabilității și reacțiile companiilor de securitate.

Ce distribuții Linux pot fi afectate de vulnerabilitate

Problema apare în anumite configurații în care OpenSSH funcționează împreună cu musl, o bibliotecă software utilizată ca alternativă la glibc, implementarea standard a bibliotecii C în numeroase distribuții Linux.

Nu toate sistemele Linux sunt vulnerabile. Exploatarea depinde de îndeplinirea simultană a mai multor condiții tehnice.

În primul rând, sistemul trebuie să utilizeze OpenSSH și biblioteca musl. În plus, serviciul SSH trebuie configurat fără PAM (Pluggable Authentication Modules), mecanismul folosit pentru gestionarea autentificării și a drepturilor de acces.

Mai există și anumite condiții legate de conturile existente pe server. Configurația trebuie să includă cel puțin un cont cu o parolă stocată sub formă de hash SHA256 sau SHA512, precum și conturi fără parolă, reprezentate printr-un asterisc în fișierul de configurare relevant.

Una dintre distribuțiile care necesită verificări suplimentare este Alpine Linux, un sistem de operare cunoscut pentru dimensiunile reduse și consumul eficient de resurse. Acesta utilizează biblioteca musl, motiv pentru care configurațiile sale merită analizate cu atenție.

Specialiștii atrag însă atenția că numărul condițiilor necesare exploatării nu elimină riscul, mai ales în cazul serverelor administrate necorespunzător sau care nu beneficiază de actualizări regulate.

Cum pot hackerii să ocolească verificarea parolei în Linux

Vulnerabilitatea exploatează o neconcordanță în modul în care OpenSSH și musl gestionează anumite rezultate ale verificării parolelor.

Concret, atacatorii pot încerca să se autentifice folosind o parolă neobișnuit de lungă, care depășește 256 de caractere, în anumite conturi configurate fără o parolă validă.

În timpul procesului de autentificare, OpenSSH transmite informațiile necesare verificării către componenta software responsabilă de compararea parolei introduse cu datele stocate în sistem.

Problema apare atunci când biblioteca musl gestionează șirul de caractere foarte lung și returnează un asterisc în locul rezultatului așteptat.

OpenSSH interpretează incorect acest răspuns, iar mecanismul de autentificare poate ajunge să accepte accesul fără ca utilizatorul să fi furnizat o parolă validă.

Potrivit explicațiilor oferite de Red Hat, cauza este legată de modul în care aplicația interpretează un șir de caractere care ar trebui să reprezinte o parolă criptată.

Practic, cele două componente software nu gestionează în mod compatibil rezultatul verificării. Această eroare de interpretare creează posibilitatea ocolirii autentificării în sistemele care îndeplinesc condițiile tehnice necesare.

Mai multe companii de securitate au identificat tentative de exploatare

Greynoise nu este singura companie care a raportat activități asociate vulnerabilității.

Cercetătorii de la watchTowr au identificat tentative de exploatare legate de rețele de tip botnet și de operațiuni asociate criptomonedelor. Aceste descoperiri indică faptul că vulnerabilitatea prezintă interes pentru mai multe categorii de atacatori.

La rândul său, compania de securitate Previdian a raportat activități similare. Senzorii săi au înregistrat 20 de tentative de exploatare, provenite de la 13 adrese IP diferite, localizate în nouă țări.

Numărul acestor încercări arată că vulnerabilitatea a intrat deja în atenția grupurilor care scanează internetul pentru identificarea serverelor expuse.

Cum pot fi protejate serverele Linux

OpenSSH a publicat deja o actualizare de securitate care corectează problema și împiedică exploatarea acestei erori de autentificare.

Administratorii serverelor ar trebui să instaleze cât mai repede versiunea corectată și să verifice dacă infrastructura lor utilizează biblioteca musl și configurațiile SSH vulnerabile.

De asemenea, este recomandată verificarea jurnalelor de autentificare pentru identificarea eventualelor tentative suspecte și investigarea sistemelor în cazul în care există indicii de acces neautorizat.

În situația în care un server ar fi fost compromis, simpla instalare a actualizării nu este suficientă. Administratorii trebuie să verifice dacă au fost instalate programe necunoscute, dacă au fost create conturi neautorizate sau dacă există mecanisme prin care atacatorii pot păstra accesul.

Cazul demonstrează cât de importante sunt actualizările de securitate pentru infrastructura Linux. O eroare aparent limitată la interacțiunea dintre două componente software poate deveni o vulnerabilitate serioasă atunci când afectează mecanismul de autentificare al serverelor expuse pe internet.