TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
OpenSSH ออกเวอร์ชัน 10.6p2 แก้ช่องโหว่ระดับ Critical ที่เปิดให้ผู้โจมตีล็อกอิน SSH เข้าบัญชีที่ไม่ได้ตั้งรหัสผ่าน เช่น บัญชีที่ใช้ SSH key อย่างเดียว บนเซิร์ฟเวอร์ Alpine Linux บางส่วนได้ เพียงส่งรหัสผ่านที่ยาว 257-1,024 bytes
ช่องโหว่นี้เกิดจากการทำงานร่วมกันระหว่าง sshd กับ musl ซึ่งเป็น C library ที่ Alpine ใช้ เมื่อ sshd ตรวจรหัสผ่านเองโดยไม่ผ่าน PAM ฟังก์ชัน crypt() ของ musl จะปฏิเสธรหัสผ่านที่ยาวเกิน 256 bytes และคืนค่าเป็นเครื่องหมายดอกจัน (*) ซึ่งตรงกับค่าในช่องรหัสผ่านของบัญชีที่ไม่ได้ตั้งรหัสผ่านพอดี sshd จึงยอมให้ล็อกอิน ตาม security advisory ของ Alpine เซิร์ฟเวอร์จะเสี่ยงเมื่อเข้าเงื่อนไขครบ 4 ข้อ คือใช้แพ็กเกจ openssh-server ที่ build แบบไม่มี PAM (หรือ openssh-server-pam ที่ตั้ง UsePAM no) เปิด PasswordAuthentication ไว้ซึ่งเป็นค่า default มีบัญชีที่ไม่ได้ตั้งรหัสผ่าน และมีบัญชีอื่นอย่างน้อยหนึ่งบัญชีที่มี password hash แบบ “$5$” หรือ “$6$” ผู้โจมตีเพียงเข้าถึงเซิร์ฟเวอร์ผ่านเครือข่ายได้และรู้ชื่อบัญชีเป้าหมาย ก็โจมตีสำเร็จได้ทุกครั้งด้วยการเชื่อมต่อครั้งเดียว
ระบบที่ใช้ glibc ระบบที่ไม่ใช่ Linux และระบบที่ตรวจรหัสผ่านผ่าน PAM ไม่ได้รับผลกระทบ รวมถึง container ที่ไม่ได้รัน sshd และ cloud image ที่ตั้งค่าผ่าน cloud-init ซึ่งปิด PasswordAuthentication ไว้แล้ว จุดที่ต้องระวังคือ tiny-cloud image ตั้งแต่ 3.18.11 ถึง 3.24.3 ที่ให้ผู้ใช้งาน alpine ใช้ doas ได้โดยไม่ต้องใส่รหัสผ่าน หากผู้ดูแลระบบตั้งรหัสผ่าน console ภายหลัง ผู้โจมตีจะล็อกอินเป็น alpine แล้วยกระดับเป็น root ได้ทันที นอกจาก Alpine แล้ว นักวิจัยจาก Wakefield ผู้รายงานช่องโหว่และเผยแพร่รายละเอียดทางเทคนิคไว้ ยังแนะนำให้ตรวจสอบระบบอื่นที่ใช้ musl อย่าง OpenWrt, Buildroot และ Yocto ด้วย ปัจจุบันยังไม่มีรายงานการโจมตีจริง และยังไม่มีการกำหนดหมายเลข CVE
Alpine ออกแพ็กเกจที่แก้ไขแล้วให้ทุก release ย้อนไปถึง 3.16 รวมถึง branch ที่หมดระยะ support แล้ว โดย point release 3.21.10, 3.22.8, 3.23.8 และ 3.24.4 รวมการแก้ไขนี้มาแล้ว ผู้ดูแลระบบควรอัปเดตด้วยคำสั่ง apk upgrade -U -a แล้วรีสตาร์ท sshd ด้วย rc-service sshd restart เนื่องจากการอัปเกรดแพ็กเกจไม่ได้รีสตาร์ท sshd ที่รันอยู่ให้ ส่วนผู้ที่ build OpenSSH เองให้อัปเดตเป็น OpenSSH 10.6p2 หากยังอัปเดตไม่ได้ OpenSSH แนะนำให้ปิด password login ทันทีด้วยการตั้ง PasswordAuthentication no หลังตรวจสอบแล้วว่าล็อกอินด้วย SSH key ได้ นอกจากนี้ควรตรวจ log ใน /var/log/messages หาบรรทัด Accepted password for ของบัญชีที่ไม่ได้ตั้งรหัสผ่าน หากไม่สามารถตัดความเป็นไปได้ว่ามีผู้ล็อกอินเข้ามาแล้ว ให้ถือว่าเครื่องนั้นถูกเจาะแล้ว
ที่มา: https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html
