L’écosystème des conteneurs traverse une zone de turbulences avec la découverte de SSHole, une faille référencée CVE-2026-123158 affichant un score CVSS de 8,1. Détectée par le chercheur Özgün Kültekin, cette anomalie technique trouve son origine dans un correctif appliqué en 2016. Elle cible spécifiquement les systèmes associant le démon OpenSSH à la bibliothèque C musl sans modules PAM. Alpine Linux, distribution omniprésente dans Docker, Kubernetes et Proxmox, se retrouve en première ligne. Les attaques automatisées n’ont pas tardé, puisque moins de neuf heures après la divulgation publique, des sondes interactives menées depuis une adresse IP japonaise ont réussi à obtenir un accès root sur des serveurs pièges.
Comment fonctionne le mécanisme d’intrusion de la faille SSHole ?
Le piratage exploite une confusion dans le traitement des erreurs de chiffrement. Cette vulnérabilité s’active dès qu’un assaillant envoie une suite de caractères comprise entre 257 et 1 024 octets dans le champ du mot de passe. Face à cette entrée démesurée, la fonction crypt de musl échoue et renvoie un simple astérisque au lieu d’une valeur nulle habituelle. Le démon (Disk and Execution MONitor) de connexion compare ensuite ce résultat au marqueur de verrouillage stocké dans le fichier shadow du système, validant immédiatement la session.
Pour que la manœuvre aboutisse, la machine cible doit héberger au moins un compte utilisateur valide dont l’empreinte utilise les algorithmes SHA-256 ou SHA-512. Le serveur emprunte en effet le sel cryptographique de ce compte actif pour traiter la tentative frauduleuse. Sans cette condition, l’attaque échoue net. Dès lors que les prérequis sont réunis, l’intrusion réussit dès la première tentative sans exiger d’essais répétés, offrant les permissions du compte ciblé.
Quels sont les systèmes réellement exposés face à cette menace ?
Le danger se concentre sur les environnements qui exécutent le serveur OpenSSH sans intégrer PAM, tout en conservant l’option de mot de passe active. Toutes les versions d’Alpine Linux de la 3.16 à la 3.24 ainsi que la branche edge sont vulnérables par défaut. D’autres distributions comme Void Linux, Buildroot ou Yocto partagent cette exposition potentielle. En revanche, OpenWrt évite le piège grâce à son usage natif du démon Dropbear, à moins que l’administrateur n’ait forcé l’installation d’un paquet alternatif. Les distributions majeures reposant sur glibc restent totalement immunisées.
La publication du correctif a été précipitée par les mainteneurs du projet. Damien Miller a justifié cette urgence par la capacité inédite des agents d’intelligence artificielle à redécouvrir les failles logicielles en quelques heures. Alors que des millions de machines exposent leur port 22 sur Internet, la désactivation de l’authentification par mot de passe constitue le rempart immédiat le plus efficace pour couper court aux scans automatisés.
Quelles mesures immédiates permettent de bloquer les intrusions ?
La priorité consiste à déployer la version 10.6p2 d’OpenSSH ou les paquets mis à jour par votre distribution, puis à relancer le démon sshd. Si l’application du correctif prend du retard, il suffit d’ajouter la directive interdisant les mots de passe dans la configuration du service. Les équipes de sécurité recommandent aussi d’auditer les journaux d’événements à la recherche de connexions suspectes validées pour des profils censés fonctionner uniquement par clés, en surveillant de près l’élévation de privilèges via doas ou sudo.
Foire Aux Questions (FAQ)
Quelles distributions Linux sont concernées par SSHole ?
Alpine Linux est la principale cible touchée par défaut sur ses versions 3.16 à 3.24. D’autres systèmes légers comme Void Linux, Yocto ou Buildroot sont affectés s’ils compilent OpenSSH avec musl sans activer les modules PAM. Les systèmes basés sur glibc comme Debian, Ubuntu ou Red Hat sont hors de cause.
Un compte root sans mot de passe peut-il être compromis directement ?
Si le serveur conserve le réglage par défaut interdisant la connexion directe de root par mot de passe, l’accès direct est bloqué. En revanche, un attaquant peut pénétrer via un autre compte utilisateur sans mot de passe puis utiliser des droits doas ou sudo pour obtenir les privilèges d’administration.
Comment corriger le problème sans redémarrer le serveur complet ?
Il suffit de mettre à jour le paquet OpenSSH fourni par le gestionnaire de votre distribution puis de redémarrer uniquement le service sshd. Vous pouvez également inscrire la ligne PasswordAuthentication no dans votre fichier sshd_config avant de recharger la configuration du démon.