Exploitation active de SSHole : contournement d'authentification OpenSSH via musl libc

🔍 Contexte

Selon les observations du SANS Internet Storm Center publiées le 9 novembre 2026, des tentatives d’exploitation active de la vulnérabilité SSHole ciblant certains serveurs OpenSSH ont été détectées à partir du 5 novembre 2026.

🐛 Vulnérabilité

Divulguée par le chercheur Özgün Kültekin, SSHole affecte OpenSSH fonctionnant avec musl libc lorsque les vérifications de mot de passe s’effectuent sans PAM. Le mécanisme d’exploitation repose sur :

• La soumission d’un mot de passe d’une longueur comprise entre 257 et 1 024 octets
• La fonction crypt() de musl retournant * en cas d’erreur de dépassement
• OpenSSH comparant cette valeur * avec le champ de mot de passe stocké * du compte cible, acceptant ainsi la connexion

Conditions requises : authentification par mot de passe activée, compte cible avec champ mot de passe *, et un autre compte local contenant un hash SHA-crypt valide.

📊 Activité observée

Le chercheur Johannes Ullrich a documenté via ses honeypots Cowrie :

• 232 requêtes avec mots de passe longs le 5 novembre 2026
• 713 requêtes le 6 novembre 2026
• Les mots de passe utilisés étaient composés de caractères “A” répétés

🌐 Adresses IP scanner identifiées

🔧 Correctifs

OpenSSH 10.6p2 corrige la vulnérabilité. Alpine Linux a publié des paquets corrigés. La désactivation de PasswordAuthentication bloque ce vecteur d’attaque. Les tests de StepSecurity confirment également une protection lorsque les vérifications de mot de passe utilisent PAM.

📰 Nature de l’article

Article d’alerte de sécurité basé sur des données de honeypots, documentant le passage d’une vulnérabilité divulguée à une exploitation active dans la nature.

🧠 TTPs et IOCs détectés

TTP

• T1110 — Brute Force (Credential Access)
• T1190 — Exploit Public-Facing Application (Initial Access)
• T1078 — Valid Accounts (Defense Evasion)

IOC

• IPv4 : 213.86.169.133 — AbuseIPDB · VT · ThreatFox
• IPv4 : 152.233.50.185 — AbuseIPDB · VT · ThreatFox
• IPv4 : 92.255.57.7 — AbuseIPDB · VT · ThreatFox
• CVEs : CVE-2026-123158 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 12 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Cowrie (tool)

🟡 Indice de vérification factuelle : 60/100 (moyenne)

• ⬜ cybersecuritynews.com — source non référencée (0pts)
• ✅ 4201 chars — texte complet (15pts)
• ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 3/3 IOCs confirmés (AbuseIPDB, ThreatFox, VirusTotal) (15pts)
• ✅ 3 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 213.86.169.133 (ip) → AbuseIPDB (100% confiance, 32 signalements) + VT (6/92 détections)
• 152.233.50.185 (ip) → AbuseIPDB (75% confiance, 16 signalements) + VT (5/92 détections)
• 92.255.57.7 (ip) → AbuseIPDB (100% confiance, 123 signalements) + VT (9/92 détections)

🔗 Source originale : https://cybersecuritynews.com/openssh-sshole-flaw-exploited/

🖴 Archive : https://web.archive.org/web/20261112082127/https://cybersecuritynews.com/openssh-sshole-flaw-exploited/