OpenSSH-Lücke „sshole“ wird ausgenutzt: Alpine-Server und Container jetzt patchen

Dieser Beitrag wurde mit KI erstellt.

In OpenSSH steckt eine Lücke, über die sich ein Angreifer ohne Passwort an Konten anmelden kann, die gar kein Passwort haben, etwa an Benutzern, die sonst nur per Schlüssel hineinkommen: CVE-2026-123158, genannt „sshole“, veröffentlicht am 05.11.2026. Betroffen sind Linux-Systeme auf Basis der C-Bibliothek musl ohne PAM, allen voran Alpine Linux und viele Container-Images. Die Lücke wird bereits angegriffen. Aktualisiere OpenSSH jetzt oder schalte die Passwort-Anmeldung ab.

Was passiert ist

Hat ein Konto keinen Passwort-Hash, prüft OpenSSH das eingegebene Passwort zum Schein gegen den Hash eines anderen Kontos, damit die Antwortzeit nichts verrät. Die Bibliothek musl lehnt dabei Passwörter mit mehr als 256 Zeichen ab und liefert ein „*“ zurück – genau das Zeichen, das in /etc/shadow für ein Konto ohne Passwort steht. OpenSSH wertet beides als gleich und lässt die Anmeldung zu. Ein Angreifer braucht also nur ein überlanges Passwort, um sich als Benutzer ohne Passwort anzumelden. Für root gilt das nur, wenn die Einstellung PermitRootLogin Passwörter für root zulässt; in der Grundeinstellung verhindert sie das.

Gefunden hat die Lücke der Sicherheitsforscher Özgün Kültekin. OpenSSH 10.6p2 behebt sie, Alpine hat am selben Tag korrigierte Pakete für alle Zweige ab 3.16 veröffentlicht. Laut Help Net Security hat das Sicherheitsunternehmen Previdian keine neun Stunden nach der Veröffentlichung die ersten Angriffe beobachtet; einer davon erreichte auf einem Köder-Server root-Rechte. Beispiel-Exploits kursieren bereits auf GitHub.

Wer betroffen ist

• Voraussetzungen: sshd läuft mit musl statt glibc, ohne PAM, mit eingeschalteter Passwort-Anmeldung (der Grundeinstellung), mindestens ein Konto trägt in /etc/shadow ein „*“ als Passwort, und ein weiteres Konto hat ein echtes Passwort. Konten, die mit „!“ gesperrt sind, gelten als sicher.
• Alpine Linux: Das Standardpaket openssh-server ist genau so gebaut. Das gilt für Server, VMs und Alpine-Container, etwa aus den Container-Vorlagen von Proxmox.
• Container und Geräte: Viele Docker-Images bauen auf Alpine auf. Auch Systeme auf Basis von OpenWrt, Buildroot oder Yocto nutzen musl, darunter Router und andere Netzwerkgeräte.
• Nicht betroffen: Systeme mit glibc wie Debian, Ubuntu und Red Hat, Installationen mit PAM sowie der SSH-Server Dropbear. Debian und Ubuntu haben ihre eigene Bewertung laut SSD Nodes noch nicht abgeschlossen; spiel ihr OpenSSH-Update ein, sobald es kommt.

Was du jetzt tun solltest

• Prüfen, ob dein System betroffen ist: ldd /usr/sbin/sshd zeigt, ob sshd musl nutzt, sshd -T | grep -Ei '^(usepam|passwordauthentication)' zeigt die wirksamen Einstellungen. Betroffen ist ein System mit usepam no und passwordauthentication yes.
• Alpine aktualisieren und sshd neu starten: apk update && apk upgrade spielt das korrigierte Paket ein, erst rc-service sshd restart lädt es. Bis zum Neustart nimmt der alte sshd weiter Anmeldungen an. Alpine-Zweige vor 3.16 bekommen keine Korrektur mehr und brauchen ein Upgrade.
• Passwort-Anmeldung abschalten: PasswordAuthentication no in der sshd-Konfiguration schließt die Lücke auch ohne Update. Teste vorher in einem zweiten Terminal, ob die Anmeldung per Schlüssel klappt, damit du dich nicht aussperrst.
• Container neu bauen: Ein laufender Container behält seine alten Pakete. Ziehe das aktuelle Image und erstelle den Container neu; ein Neustart allein reicht nicht.
• Auf Einbrüche prüfen: Suche in /var/log/messages nach „Accepted password for“ bei Konten ohne Passwort und kontrolliere neue Benutzer und die Dateien authorized_keys. Lässt sich ein Einbruch nicht ausschließen, setze das System neu auf.

So helfen wir dir

Mit der IT-Betreuung & Monitoring halten wir deine Server und Container aktuell, bei dir vor Ort und in unserem Rechenzentrum. Für deinen V-Server oder Root-Server übernimmt der Managed Service Updates und Pflege des Betriebssystems. Betreibst du Container auf eigener Virtualisierung, kümmern wir uns um deine Proxmox-Umgebung. Wie du dich per SSH-Schlüssel statt Passwort anmeldest, zeigt unser Hilfe-Artikel zum Erstzugang per RDP oder SSH. Erst diese Woche betraf eine Lücke im Paketmanager APT die Debian- und Ubuntu-Server.

Du willst wissen, ob deine Server oder Container betroffen sind? Schreib uns an support@baebeca.de oder ruf an unter 02261-81616-0 – wir prüfen deine Systeme mit dir.