Lek in OpenBSD OpenSSH maakt omzeilen van wachtwoordauthenticatie mogelijk

Wat is er gebeurd

Een kwetsbaarheid met kenmerk CVE-2026-123158 treft sshd, het servercomponent van OpenSSH, op Linux-systemen die zijn gebouwd met de musl C-bibliotheek en draaien zonder PAM. In die opzet ontbreekt in sshd een beveiliging tegen het omzeilen van wachtwoordauthenticatie. Het onderliggende probleem betreft de manier waarop het systeem bepaalt of een bepaalde tekenreeks als wachtwoordhash moet worden behandeld. Bij bepaalde accountconfiguraties kunnen voldoende lange wachtwoorden worden geaccepteerd, ook als ze onjuist zijn. Een aanvaller die de SSH-service kan bereiken, zou daardoor toegang kunnen krijgen tot een account zonder het wachtwoord te kennen.

Alpine Linux wordt genoemd als voorbeeld van een platform dat musl libc combineert met het ontbreken van PAM. De zwakte is geclassificeerd als CWE-394. CISA heeft het lek op 2026-11-09 toegevoegd aan de catalogus Known Exploited Vulnerabilities, wat betekent dat het actief wordt misbruikt.

Wie is getroffen

Het getroffen product is OpenSSH van OpenBSD. De vermelde kwetsbare versies omvatten alle releases vóór 10.6 en bepaalde 10.6-releases; het beveiligingsadvies van de leverancier vermeldt de getroffen en de opgeloste versies. Het probleem geldt alleen voor sshd op Linux wanneer musl libc wordt gebruikt zonder PAM, met Alpine Linux als voorbeeld van zo'n platform. Systemen die niet aan deze configuratie voldoen, worden in de ons beschikbare gegevens niet als getroffen beschreven.

Hoe ernstig is het

Het lek heeft een CVSS 3.1-basisscore van 8.1, beoordeeld als hoog. De score weerspiegelt bereikbaarheid via het netwerk zonder dat rechten of gebruikersinteractie nodig zijn, hoewel de complexiteit van de aanval als hoog is beoordeeld. Microsoft beoordeelt het probleem in zijn beveiligingsadvies eveneens als hoog en meldt dat er een oplossing bestaat.

Het praktische risico wordt verhoogd door bevestigd misbruik: CISA vermeldt het lek in de catalogus Known Exploited Vulnerabilities en heeft voor federale instanties een uiterste hersteldatum van 2026-11-12 vastgesteld. De EPSS-score, een schatting van de kans op misbruik, is 0.16501. Een geslaagde omzeiling zou een aanvaller volledige toegang kunnen geven tot het getroffen account, met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid.

Wat moet u doen

1. 1Identificeer Linux-systemen waarop OpenSSH sshd draait met musl libc en zonder PAM, zoals Alpine Linux-hosts en -containers.
2. 2Werk OpenSSH op getroffen systemen bij naar versie 10.6p2.
3. 3Raadpleeg het Microsoft-beveiligingsadvies CVE-2026-123158 en de release notes van OpenSSH voor richtlijnen van de leverancier.
4. 4Pas mitigaties van de leverancier toe in lijn met de door CISA vereiste actie, en stop met het gebruik van het product als er geen mitigaties beschikbaar zijn.
5. 5Beschouw de CISA-uiterste datum van 2026-11-12 als deadline voor het herstellen van blootgestelde systemen.
6. 6Controleer de SSH-authenticatielogs op getroffen hosts op onverwachte succesvolle logins.

Kerngegevens