החולשה, שכונתה "*sshole", נמצאת ב-OpenSSH מאז 2016 ופוגעת רק בשרתי לינוקס שמשתמשים בספריית musl, בהם Alpine Linux, OpenWrt, Buildroot ו-Yocto. חשבון שנחסם לכניסה בסיסמה מסומן בכוכבית (*) בקובץ /etc/shadow. כשסיסמה חורגת מ-256 בתים, פונקציית ההצפנה של musl נכשלת ומחזירה כוכבית, וההשוואה מול הכוכבית השמורה מצליחה. בחשבונות עם סיסמה תקינה אין עקיפה.
לפי ייעוץ האבטחה של Alpine, התקיפה דורשת ששרת ה-SSH יבדוק סיסמאות בלי PAM, שכניסה בסיסמה תהיה מופעלת (ברירת המחדל בחבילה של Alpine) ושלפחות לחשבון אחד אחר במכונה תהיה סיסמה. בתמונות הענן הרשמיות של Alpine ל-AWS ול-Azure יש חשבון alpine עם הרשאות doas ללא סיסמה, כך שבתנאים האלה תוקף יכול להגיע להרשאות root. לא דווח על ניצול בפועל.
מה לעשות: לעדכן את חבילת openssh (apk upgrade openssh) ולהפעיל מחדש את שירות sshd, כי העדכון לא מפעיל אותו מחדש. מי שלא יכול לעדכן מיד צריך לכבות כניסה בסיסמה (PasswordAuthentication no). החוקר אוזגון קולטקין, שגילה את החולשה בעזרת סוכני AI שהריצו כ-17,600 בדיקות, ממליץ גם לחפש ביומני ה-SSH כניסות בסיסמה לחשבונות שאמורים להיות חסומים לכך.
