*sshole, belirli bir OpenSSH ve musl yap\u0131land\u0131rmas\u0131nda yetkisiz eri\u015fime yol a\u00e7abilen bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131d\u0131r. \u00d6zellikle musl kullanan Alpine Linux sistemleri g\u00fcndeme gelse de risk yaln\u0131zca Alpine ile s\u0131n\u0131rl\u0131 de\u011fildir: Ayn\u0131 bile\u015fenleri benzer bi\u00e7imde yap\u0131land\u0131ran ba\u015fka Linux sistemleri de etkilenebilir.<\/p>\n
A\u00e7\u0131\u011f\u0131n varl\u0131\u011f\u0131 tek ba\u015f\u0131na her Linux cihaz\u0131n\u0131n savunmas\u0131z oldu\u011fu anlam\u0131na gelmez. Etki, OpenSSH\u2019in PAM kullanmadan \u00e7al\u0131\u015fmas\u0131 ve sistemde belirli parola yap\u0131land\u0131rmalar\u0131n\u0131n bulunmas\u0131 gibi ko\u015fullar\u0131n bir araya gelmesine ba\u011fl\u0131d\u0131r. Bu nedenle sistem y\u00f6neticilerinin da\u011f\u0131t\u0131m ad\u0131na bakmakla yetinmeyip ger\u00e7ek yap\u0131land\u0131rmay\u0131 incelemesi gerekir.<\/p>\n
OpenSSH<\/strong>, SSH \u00fczerinden g\u00fcvenli uzaktan ba\u011flant\u0131 kurulmas\u0131n\u0131 sa\u011flayan yaz\u0131l\u0131m paketidir. Sistem y\u00f6neticileri bu paket arac\u0131l\u0131\u011f\u0131yla sunuculara ba\u011flanabilir; kullan\u0131c\u0131lar da kimlik do\u011frulama y\u00f6ntemlerine g\u00f6re sisteme eri\u015febilir. musl<\/strong> ise Linux programlar\u0131n\u0131n temel sistem i\u015flevlerine ula\u015fmas\u0131n\u0131 sa\u011flayan C standart k\u00fct\u00fcphanelerinden biridir. Daha hafif bir alternatif olarak tercih edilir ve Alpine Linux\u2019un temel bile\u015fenleri aras\u0131ndad\u0131r.<\/p>\n Bir\u00e7ok Linux da\u011f\u0131t\u0131m\u0131nda musl yerine glibc ad\u0131 verilen ba\u015fka bir C k\u00fct\u00fcphanesi kullan\u0131l\u0131r. Bu fark, s\u00f6z konusu a\u00e7\u0131\u011f\u0131n t\u00fcm Linux da\u011f\u0131t\u0131mlar\u0131n\u0131 otomatik olarak etkilemedi\u011fi anlam\u0131na gelir. Ancak musl kullanan bir sistemde OpenSSH\u2019in de belirli ko\u015fullarla \u00e7al\u0131\u015fmas\u0131 h\u00e2linde benzer risk ortaya \u00e7\u0131kabilir.<\/p>\n \u00d6nemli ko\u015fullardan biri, OpenSSH\u2019in PAM kullanmamas\u0131d\u0131r<\/strong>. PAM, kullan\u0131c\u0131lar\u0131n kimlik do\u011frulama ve hesap eri\u015fim kurallar\u0131n\u0131 merkezi bi\u00e7imde y\u00f6netmeye yarayan bir altyap\u0131d\u0131r. OpenSSH ile musl aras\u0131ndaki etkile\u015fim, PAM\u2019\u0131n devre d\u0131\u015f\u0131 oldu\u011fu ilgili yap\u0131land\u0131rmalarda a\u00e7\u0131\u011f\u0131n tetiklenmesine zemin haz\u0131rlayabilir. Dolay\u0131s\u0131yla yaln\u0131zca musl kullan\u0131lmas\u0131, sistemin kesin olarak savunmas\u0131z oldu\u011funu g\u00f6stermeye yetmez.<\/p>\n Belirtilen sald\u0131r\u0131 senaryosunda sistemde, parolayla eri\u015fime izin verilen en az bir hesab\u0131n bulunmas\u0131 gerekir. Bu hesab\u0131n parolas\u0131 SHA-256 veya SHA-512 kullan\u0131larak \u00f6zetlenmi\u015f olmal\u0131d\u0131r. Parola \u00f6zeti, parolan\u0131n kendisi yerine do\u011frulama amac\u0131yla saklanan d\u00f6n\u00fc\u015ft\u00fcr\u00fclm\u00fc\u015f de\u011feridir.<\/p>\n Senaryonun di\u011fer par\u00e7as\u0131 ise hedef hesab\u0131n parola alan\u0131n\u0131n bo\u015f olmamas\u0131, ancak bu alanda *<\/strong> i\u015faretinin bulunmas\u0131d\u0131r. Bu i\u015faret, ilgili hesap i\u00e7in geleneksel parola do\u011frulamas\u0131n\u0131n devre d\u0131\u015f\u0131 oldu\u011funu g\u00f6sterebilir. B\u00f6yle hesaplar \u00e7o\u011fu zaman SSH anahtar\u0131 veya ba\u015fka bir sertifika tabanl\u0131 y\u00f6ntemle eri\u015fim i\u00e7in yap\u0131land\u0131r\u0131l\u0131r. Bununla birlikte, hesab\u0131n parola alan\u0131ndaki i\u015faretin anlam\u0131 da\u011f\u0131t\u0131m ve yap\u0131land\u0131rma ayr\u0131nt\u0131lar\u0131na g\u00f6re de\u011ferlendirilmelidir; y\u00f6neticiler yaln\u0131zca tek bir dosya de\u011ferine dayanarak g\u00fcvenlik karar\u0131 vermemelidir.<\/p>\n Bu ko\u015fullar\u0131n t\u00fcm\u00fc birlikte de\u011ferlendirilmelidir. Bir veya birka\u00e7 ko\u015fulun bulunmas\u0131 tek ba\u015f\u0131na ba\u015far\u0131l\u0131 bir sald\u0131r\u0131n\u0131n m\u00fcmk\u00fcn oldu\u011funu kan\u0131tlamaz; ayn\u0131 \u015fekilde sistemin Alpine d\u0131\u015f\u0131nda bir da\u011f\u0131t\u0131m kullanmas\u0131 da benzer bir yap\u0131land\u0131rma varsa riski kesin olarak ortadan kald\u0131rmaz.<\/p>\n Aktar\u0131lan teknik a\u00e7\u0131klamaya g\u00f6re sald\u0131r\u0131, uygun yap\u0131land\u0131rma mevcut oldu\u011funda tek bir ba\u011flant\u0131 giri\u015fimiyle ger\u00e7ekle\u015febilir ve sald\u0131rgan\u0131n tekrar tekrar deneme yapmas\u0131n\u0131 gerektirmez. Bu \u00f6zellik, a\u00e7\u0131\u011f\u0131n ko\u015fullar\u0131 kar\u015f\u0131layan sistemlerde ciddiye al\u0131nmas\u0131n\u0131 gerektirir. Bununla birlikte risk de\u011ferlendirmesi; kullan\u0131lan OpenSSH s\u00fcr\u00fcm\u00fc, da\u011f\u0131t\u0131m\u0131n g\u00fcvenlik g\u00fcncellemeleri ve sistemin ger\u00e7ek kimlik do\u011frulama ayarlar\u0131 \u00fczerinden yap\u0131lmal\u0131d\u0131r.<\/p>\n Sistem y\u00f6neticileri \u00f6ncelikle Alpine Linux ve musl kullanan sunucular\u0131n envanterini \u00e7\u0131karmal\u0131; ard\u0131ndan OpenSSH\u2019in PAM ile \u00e7al\u0131\u015f\u0131p \u00e7al\u0131\u015fmad\u0131\u011f\u0131n\u0131, parola do\u011frulamas\u0131n\u0131n hangi kullan\u0131c\u0131lar i\u00e7in a\u00e7\u0131k oldu\u011funu ve parolas\u0131z hesaplar\u0131n nas\u0131l yap\u0131land\u0131r\u0131ld\u0131\u011f\u0131n\u0131 kontrol etmelidir. \u00dcretici ve da\u011f\u0131t\u0131m g\u00fcvenlik duyurular\u0131n\u0131 izlemek, mevcut g\u00fcncellemeleri uygulamak ve gerekiyorsa desteklenen bir yap\u0131land\u0131rmaya ge\u00e7mek<\/strong> temel \u00f6nlemler aras\u0131ndad\u0131r.<\/p>\n Parolas\u0131z hesaplar i\u00e7in eri\u015fim gereksinimleri yeniden g\u00f6zden ge\u00e7irilmeli, kullan\u0131lmayan hesaplar kapat\u0131lmal\u0131 ve SSH eri\u015fimi m\u00fcmk\u00fcn oldu\u011funca anahtar tabanl\u0131 kimlik do\u011frulama, eri\u015fim k\u0131s\u0131tlamalar\u0131 ve izleme mekanizmalar\u0131yla s\u0131n\u0131rland\u0131r\u0131lmal\u0131d\u0131r. Ancak bu \u00f6nlemler, ilgili g\u00fcvenlik g\u00fcncellemelerinin yerine ge\u00e7mez. Y\u00f6neticiler, sistemleri de\u011fi\u015ftirirken uzaktan eri\u015fimi kesmemek i\u00e7in \u00f6nce yedekleme ve kurtarma plan\u0131 olu\u015fturmal\u0131, de\u011fi\u015fiklikleri kontroll\u00fc bi\u00e7imde uygulamal\u0131d\u0131r.<\/p>\n *sshole\u2019un yakla\u015f\u0131k on y\u0131ld\u0131r sistemlerde bulundu\u011funa ili\u015fkin bilgi, etkilenen her cihaz\u0131n bu s\u00fcre boyunca sald\u0131r\u0131ya u\u011frad\u0131\u011f\u0131n\u0131 g\u00f6stermez. Bu, a\u00e7\u0131\u011f\u0131n uzun s\u00fcredir mevcut olabilece\u011fine dair bir zaman aral\u0131\u011f\u0131d\u0131r. Etkilenme ve olas\u0131 k\u00f6t\u00fcye kullan\u0131m konusunda kesin sonuca varmak i\u00e7in sistem g\u00fcnl\u00fckleri, yap\u0131land\u0131rma ge\u00e7mi\u015fi ve ilgili g\u00fcvenlik duyurular\u0131 birlikte incelenmelidir.<\/p>\nHangi hesap ve parola ko\u015fullar\u0131 aranmal\u0131?<\/h2>\n
\n
Sald\u0131r\u0131 riski ve y\u00f6neticilerin atabilece\u011fi ad\u0131mlar<\/h2>\n