SSH ist der Fernzugang, über den Administratoren Server und Geräte verwalten. Wer sich anmeldet, braucht ein Passwort oder einen digitalen Schlüssel. Am 5. November wurde bekannt, dass auf einer bestimmten Bauart von Linux etwas Verblüffendes reicht: ein sehr langes Passwort, irgendeines.
Seit dem 9. November führt die US-Behörde CISA die Lücke als ausgenutzt. Die Frist, die sie US-Behörden setzt, ist der 12. November. Die Sicherheitsfirma Previdian hat den ersten Angriffsversuch weniger als neun Stunden nach der Veröffentlichung gesehen. Ein Testsystem, das sie als Köder aufgestellt hatte, wurde mit vollen Rechten übernommen.
Was die Lücke ist
Manche Konten auf einem Linux-System haben absichtlich kein Passwort. Bei ihnen steht ein Platzhalter, der bedeutet: Anmeldung mit Passwort nicht möglich, nur mit Schlüssel. Bei Alpine Linux gilt das seit Jahren sogar für das Administratorkonto root.
Auf Systemen mit der Programmbibliothek musl liefert die Prüfung eines Passworts mit mehr als 256 Zeichen als Fehler genau diesen Platzhalter zurück. Der Fernzugang vergleicht das Ergebnis mit dem gespeicherten Eintrag, findet zweimal dasselbe Zeichen und lässt den Besucher herein. Laut Alpine reichen Passwörter zwischen 257 und 1024 Zeichen.
Betroffen ist das nur, wenn der Fernzugang die Passwörter selbst prüft und nicht über PAM, eine Zwischenschicht, die die meisten grossen Linux-Verteilungen verwenden.
Wen es trifft und wen nicht
Betroffen ist vor allem Alpine Linux, eine schlanke Linux-Variante, die oft in Containern, kleinen Servern und Cloud-Abbildern steckt. Auch andere Systeme auf Basis von musl können es sein, etwa selbstgebaute Firmware für Geräte, wenn dort der übliche OpenSSH-Fernzugang läuft.
Nicht betroffen sind die grossen Verteilungen wie Ubuntu, Debian, Fedora und Red Hat, weil sie eine andere Bibliothek und PAM verwenden. Unsere eigenen Server laufen auf Ubuntu und Debian, wir haben es nachgesehen. Ebenfalls nicht betroffen ist Dropbear, ein kleinerer Fernzugang, den viele Router verwenden. Docker-Container sind nur betroffen, wenn in ihnen ein eigener SSH-Dienst läuft.
Warum das trotzdem ein Thema für Kleinbetriebe ist
Kaum ein Betrieb weiss, auf welchem Linux sein Router, seine Telefonanlage, die Box für die Videoüberwachung oder der kleine Server der Agentur läuft. Alpine ist gerade deshalb beliebt, weil es klein ist und kaum auffällt. Die Frage ist also nicht, ob man selbst Alpine installiert hat, sondern ob irgendwo im Betrieb oder beim Dienstleister ein Gerät damit läuft, das aus dem Internet per SSH erreichbar ist.
Und es ist wieder dasselbe Muster wie bei den letzten Lücken: Wer das Update einspielt, ist erst geschützt, wenn der Dienst neu gestartet wurde. Alpine schreibt das ausdrücklich dazu.
Was jetzt zu tun ist
Beim Dienstleister nachfragen. Läuft bei uns ein Server oder Gerät mit Alpine oder einem anderen System auf Basis von musl, das per SSH erreichbar ist? Wenn ja: Ist OpenSSH aktualisiert und der Dienst neu gestartet?
Wer selbst betreibt: Auf Alpine mit apk upgrade aktualisieren und danach den SSH-Dienst neu starten. Wo das nicht sofort geht, die Anmeldung mit Passwort abschalten: In der Konfiguration PasswordAuthentication auf no setzen, vorher prüfen, dass die Anmeldung mit Schlüssel funktioniert.
Nach Spuren sehen. Alpine nennt Einträge «Accepted password for» im Systemprotokoll, unbekannte Benutzer und neue Einträge in den Schlüsseldateien. Wer dort etwas findet, das niemand erklären kann, behandelt das System als übernommen.
SSH nicht offen ins Internet stellen. Ein Fernzugang für Administratoren gehört hinter ein VPN oder zumindest auf bekannte Adressen beschränkt. Dann hilft auch eine solche Lücke einem Angreifer nichts, der von irgendwo im Internet anklopft.