دقّ الرئيس التنفيذي لشركة Binance، تشانغبينغ تشاو (CZ)، ناقوس الخطر بشأن ثغرة مصادقة قديمة في OpenSSH قد تتيح للمهاجمين تسجيل الدخول إلى بعض الخوادم من دون معرفة كلمة المرور، وقد ظلت كامنة في الأنظمة لما يقارب عقدًا من الزمن. ما الذي حدث؟ في 5 نوفمبر، نشرت OpenSSH وAlpine Linux إصلاحات لتجاوز المصادقة، ويقول الباحثون إن الثغرة تعود إلى تغييرات أُجريت بين عامي 2012 و2016. وسلّط CZ الضوء على التحذير عبر X في اليوم التالي، وحثّ المسؤولين على تثبيت التحديثات فورًا. ولم يذكر أن Binance تأثرت؛ كما لم ترد أي تقارير في النشرات عن حدوث اختراق. كيف تعمل الثغرة (باختصار) — تؤثر الثغرة في OpenSSH على الأنظمة التي تستخدم musl libc (ومنها عدد كبير من إصدارات Alpine Linux) عند تحقق الشروط التالية: — عدم استخدام PAM للتحقق من كلمات المرور، — بقاء المصادقة بكلمة المرور مفعّلة، — وجود إعدادات معيّنة للحسابات. — يستطيع المهاجم تجاوز المصادقة بإرسال كلمة مرور واحدة أطول من الحد المسموح (بين 257 و1,024 بايت). فإذا احتوى حقل كلمة المرور المخزّنة لحساب الهدف على علامة النجمة (*) — التي تعني «لا توجد كلمة مرور» في دالة التجزئة في musl — وكان لحساب محلي آخر تجزئة متوافقة من نوع SHA-256 أو SHA-512، فقد يقبل الخادم كلمة المرور الطويلة عن طريق الخطأ ويمنح المهاجم صلاحية الوصول. — قد يتيح ذلك الوصول إلى حسابات اعتقد المسؤولون أنها مضبوطة للسماح بتسجيل الدخول باستخدام مفاتيح SSH فقط. من المتأثر؟ — أنظمة Alpine Linux التي تشغّل OpenSSH من دون PAM مع تفعيل المصادقة بكلمة المرور معرّضة للخطر على الأرجح؛ وينطبق ذلك أيضًا على بعض صور Alpine السحابية/«tiny-cloud» عند إنشاء ظروف معيّنة لاحقًا. — الأنظمة غير المتأثرة: الأنظمة التي تستخدم PAM للتحقق من كلمات المرور، والخوادم التي عطّلت المصادقة بكلمة المرور، والحاويات التي لا تشغّل خادم SSH فعّالًا. — قد تؤثر المشكلة أيضًا في توزيعات Linux أخرى تستخدم musl libc (بعض إعدادات OpenWrt وBuildroot وYocto). ولا يتأثر Dropbear SSH الافتراضي في OpenWrt بهذه الثغرة. الاكتشاف والخلفية التقنية — اكتشف الباحث الأمني أوزغون كولتكين (Wakefield) الثغرة وأطلق عليها اسم «*sshole». وأرجعها إلى طريقة تعامل musl مع تجزئة كلمات المرور: إذ تُرجع musl علامة نجمة عندما تتجاوز كلمة المرور حد المعالجة البالغ 256 بايتًا. وقد يؤدي تغيير في OpenSSH أُجري في يوليو 2016 (وكان هدفه معالجة تسريب معلومات عن أسماء المستخدمين) إلى أن يستخدم sshd قيمة الملح الخاصة بحساب آخر عند التحقق من حساب لا يملك تجزئة صالحة. وباجتماع هذين السلوكين، قد تتطابق علامة النجمة المُعادة مع علامة نجمة مخزّنة، ما يؤدي إلى نجاح المصادقة. — أقرّ فريق OpenSSH بوجود الثغرة، لكنه قال إن السبب الجذري يقع خارج sshd؛ ويتضمن إصدار 5 نوفمبر (OpenSSH 10.6p2) حلًا التفافيًا لمنع خطأ المصادقة. لماذا يهمّ ذلك العاملين في مجال العملات المشفرة؟ — تستخدم كثير من الصور السحابية خفيفة الوزن وخيارات البنية التحتية في قطاع العملات المشفرة Alpine Linux أو إصدارات مبنية على musl. وتشير نشرة Alpine إلى صور tiny-cloud من الإصدارات 3.18.11 إلى 3.24.3: إذ يمكن لحساب alpine الافتراضي فيها تشغيل doas من دون كلمة مرور، وإذا تحققت ظروف الاستغلال لاحقًا، فقد يُرفع مستوى صلاحيات تسجيل الدخول الناجح إلى صلاحيات الجذر. وحتى إن كان تسجيل الدخول إلى الجذر محظورًا افتراضيًا، يظل بالإمكان استخدام حساب إداري مخترق للحصول على صلاحيات أعلى — وهو خطر جسيم على مشغّلي العُقد والمحافظ والمدقّقين والخدمات الحاضنة للأصول. ما الذي ينبغي فعله الآن؟ — حدّث النظام: ثبّت OpenSSH 10.6p2 أو الحزم المُصحّحة من Alpine Linux (وتقول Alpine إن الإصلاحات متاحة بدءًا من الإصدار 3.16). يُرجى الانتباه إلى أن تحديث الحزم وحده لا يكفي — يجب إعادة تشغيل عملية sshd بعد التحديث. — إذا تعذّر عليك التحديث فورًا: عطّل المصادقة بكلمة المرور كإجراء مؤقت، وذلك بتعيين PasswordAuthentication no في sshd_config، ثم أعد تشغيل sshd بعد التأكد من أن الوصول باستخدام مفاتيح SSH يعمل. — افحص السجلات: راجع سجلات مصادقة SSH بحثًا عن أي عمليات تسجيل دخول غير متوقعة باستخدام كلمة مرور إلى حسابات لا يُفترض أن تقبل كلمات المرور. — إذا لم تتمكن من استبعاد الوصول غير المصرح به، فتعامل مع الجهاز على أنه مخترق واتبع إجراءات الاستجابة للحوادث المعتمدة لديك. التصحيحات والإصدارات — أصدرت OpenSSH الإصدار 10.6p2 في 5 نوفمبر. — حدّدت Alpine إصدارات الحزم التي تتضمن الإصلاح (ومن أمثلتها 3.21.10 و3.22.8 و3.23.8 و3.24.4)، وقالت إن التصحيحات متاحة للإصدارات الحالية والفروع الأقدم وصولًا إلى 3.16. السياق — يأتي منشور CZ ضمن سلسلة من التحذيرات الأمنية التي أعلن عنها علنًا (فقد نبّه مؤخرًا إلى موقع مزيف لـ Trust Wallet استُخدم للتصيد الاحتيالي للمستخدمين). ونظرًا إلى احتمال الانتقال الجانبي انطلاقًا من حساب واحد مخترق، ينبغي لمشغّلي البنية التحتية للعملات المشفرة إعطاء هذه الإصلاحات أولوية. الخلاصة: إذا كنت تشغّل Alpine أو أي نظام مبني على musl مع OpenSSH والمصادقة بكلمة المرور مفعّلة، فثبّت التحديث وأعد تشغيل sshd الآن — أو عطّل المصادقة بكلمة المرور على الأقل إلى أن تتمكن من تطبيق الإصلاح والتحقق من أنظمتك. اقرأ المزيد من الأخبار المُنشأة بالذكاء الاصطناعي على: https://app.chaingpt.org/news