CVE-2026-123158 требует связки OpenSSH без PAM, musl и учётной записи с паролем «*» в /etc/shadow. При вводе пароля длиннее 256 символов musl ошибочно возвращает «*», и атакующий проходит аутентификацию. watchTowr и Previdian сообщают о реальных атаках с 13 уникальных IP.
В Alpine Linux нашли баг десятилетней выдержки. Если в /etc/shadow стоит '*', а пароль длиннее 256 байт, musl libc возвращает '*', и OpenSSH считает аутентификацию успешной. Checkpoint подтвердил: работает с первого раза.
Хабр подробно разобрал цепочку: в 2012 musl начал возвращать '*' вместо NULL, в 2016 OpenSSH подменил соль для защиты от timing attack. В итоге ошибка вычисления пароля стала валидным ответом. OpenSSH 10.6p2 закрыл дыру.
Tailscale подтвердила, что большинство найденных проблем в SSH — повышение привилегий: уже авторизованный пользователь может выйти за пределы прав своего локального аккаунта. Отключать SSH целиком не рекомендуют, но советуют выставить TS_SSH_DISABLE_FORWARDING=1 и пересмотреть политики доступа. Исправленный клиент обещают к концу вторника 27 октября, затем выйдут адвизори и технический разбор.
Исследователь рассказал о захвате более 300 Tor exit node: атакующие подменили настройки так, чтобы SSH-трафик уходил на 12 своих серверов, а заодно резали порты 25, 465, 587, 993 и 995, оставляя путь для незашифрованной почты. Всё началось с украденного переиспользованного пароля на management server, потом на серверах поставили Ebury, и кампания шла с 2 по 5 октября.
2 октября 333 заражённых exit-ноды Tor, примерно 10% всех экзитов, начали перехватывать SSH-соединения и перенаправлять их на 12 серверов-перехватчиков: они воровали пароли, подглядывали команды и заражали серверы бэкдором Ebury 1.8.3. Автор написал скрипт на основе exitmap, который прогонял SSH-соединения между своими серверами через каждый из ~3000 экзитов и сверял отпечатки. Tor Network Health пометил экзиты как BadExit и отключил их за несколько дней.
Сайт honeypotlive.cc транслирует, как боты лезут в SSH-ханипот в реальном времени. По сути, это публичный аквариум для чужих скриптов: видно, какие команды они пробуют, как быстро переключаются и где у них заканчивается фантазия.
Небольшой пост про то, как смотреть CI-логи через SSH, а не через очередной веб-интерфейс с тремя слоями JavaScript. Судя по названию, идея в том, чтобы просто стримить вывод, как нормальные люди, когда build уже горит.