ثغرة خطيرة عمرها 10 سنوات تتيح اختراق أجهزة لينكس بلا كلمة مرور

كشفت تقارير أمنية عن ثغرة خطيرة في بعض إعدادات نظام «ألباين لينكس» (Alpine Linux)، وربما توزيعات أخرى، تتيح للمهاجمين تسجيل الدخول إلى الأجهزة من دون معرفة كلمة المرور، رغم أن الثغرة موجودة منذ نحو 10 سنوات.

وتنشأ المشكلة نتيجة تفاعل برنامج «OpenSSH»، المستخدم للاتصالات الآمنة، مع مكتبة «musl»، في الأنظمة التي لا تستخدم إطار المصادقة «PAM»، مع ضرورة توافر إعدادات محددة في حسابات المستخدمين.

وحذّر مطورو «ألباين لينكس»، من أن المهاجم قد يتمكن من اختراق الحسابات المتأثرة عبر اتصال واحد، من دون الحاجة إلى تكرار المحاولات، وذلك بإدخال أكثر من 256 حرفًا في حقل كلمة المرور.

وأوضحت شركة «تشيك بوينت» للأمن السيبراني أن نجاح الهجوم يتطلب وجود حساب نشط يستخدم خوارزمية «SHA256» أو «SHA512» لتجزئة كلمة المرور، إلى جانب حساب مستهدف مُعدّ من دون كلمة مرور.

وتثير الثغرة، التي تحمل اسم «*sshole»، مخاوف واسعة بسبب انتشار «ألباين لينكس» في أجهزة التوجيه والتلفزيون الذكية والخوادم والأنظمة الصناعية، فضلًا عن تجاوز تنزيل صورته الأساسية على منصة «Docker Hub» مليار مرة.

ووفقًا لشركة «Detectify»، يوجد نحو 22 مليون نظام يتيح الوصول إلى خدمة «SSH» عبر المنفذ 22، لكن جزءًا محدودًا منها فقط قد يستوفي شروط استغلال الثغرة.

وفيما يستمر الجدل بشأن مصدر الخلل، أصدر كل من «OpenSSH» و«ألباين لينكس» تحديثات أمنية لمعالجته، بينما يخطط مطورو «musl» لإجراء تعديلات إضافية.

ودعا خبراء الأمن السيبراني مستخدمي الأنظمة المتأثرة إلى تثبيت التحديثات فورًا والتحقق من إعدادات الحماية، خصوصًا أن الثغرة لم تحصل بعد على رقم تعريفي رسمي ضمن قاعدة بيانات «CVE».