OpenSSH يصدر تحديثًا طارئًا لثغرة تجاوز كلمة المرور على Alpine Linux

أصدر مشروع OpenSSH تحديثًا أمنيًا طارئًا لمعالجة خلل خطير قد يسمح بتجاوز مصادقة كلمة المرور على بعض خوادم Linux، خصوصًا الأنظمة التي تستخدم مكتبة musl دون تفعيل PAM مثل الإعداد الافتراضي لحزمة OpenSSH في Alpine Linux. تكمن خطورة المشكلة في أن حسابات أُعدت لتسجيل الدخول باستخدام مفاتيح SSH فقط قد تصبح قابلة للدخول بكلمة مرور غير صحيحة في ظروف محددة.

التحديث OpenSSH 10.6p2 صدر في 5 نوفمبر 2026، ويتضمن ما وصفه المشروع بأنه إجراء أمني احترازي حرج (Critical Security Workaround). وأكد مطورو OpenSSH أن أصل المشكلة يقع خارج مكوّن sshd نفسه، لكن يمكن استغلالها عبره، ولذلك أضافوا معالجة تمنع مسار تجاوز المصادقة.

كيف يعمل تجاوز كلمة المرور؟

ترتبط المشكلة بطريقة تعامل خادم SSH مع كلمات المرور عند غياب PAM على أنظمة Linux التي تستخدم musl. في بعض الحالات، إذا كان الحساب المستهدف لا يملك كلمة مرور فعلية ويظهر حقل كلمة مروره في النظام بالرمز *، بينما يوجد حساب محلي آخر لديه تجزئة كلمة مرور من الأنواع المعنية، فقد تؤدي معالجة كلمة مرور طويلة جدًا إلى نتيجة تحقق خاطئة تسمح بقبول تسجيل الدخول.

توضح التفاصيل المنشورة أن طول كلمة المرور المرسلة في هذا السيناريو يتراوح بين 257 و1024 بايت. ولا يعني ذلك أن أي كلمة مرور طويلة تخترق أي خادم OpenSSH؛ فالاستغلال يتطلب اجتماع إعدادات وشروط محددة، كما يحتاج المهاجم إلى الوصول الشبكي إلى SSH ومعرفة اسم حساب بلا كلمة مرور.

ما الأنظمة والإعدادات المعرضة للخطر؟

بحسب الإرشادات المنشورة، تظهر المشكلة عندما تجتمع الشروط التالية:

• تشغيل Linux يستخدم مكتبة musl، مثل Alpine Linux، مع خادم OpenSSH مبني دون دعم PAM؛ أو تشغيل حزمة تدعم PAM لكن مع ضبط UsePAM no.
• السماح بالمصادقة باستخدام كلمة المرور عبر الإعداد PasswordAuthentication yes.
• وجود حساب واحد على الأقل حقل كلمة مروره *، أي لا يملك كلمة مرور تقليدية ويعتمد غالبًا على مفاتيح SSH.
• وجود حساب محلي آخر لديه تجزئة كلمة مرور من الأنواع التي تتأثر بمسار التحقق المشار إليه في التنبيه.

تؤكد OpenSSH أن الأنظمة غير المعتمدة على Linux، وأنظمة Linux التي تستخدم glibc، وكذلك الأنظمة التي تستخدم PAM لمصادقة كلمات المرور، ليست ضمن نطاق هذه المشكلة وفق التنبيه. لذلك لا يصح وصفها بأنها ثغرة تصيب كل خوادم OpenSSH أو كل توزيعات Linux.

وتشمل الحسابات التي قد تتأثر بعض حسابات المستخدمين المخصصة للمفاتيح فقط، وحسابات قادمة من خدمات إدارة الهوية، وبعض الحسابات الافتراضية في صور Alpine السحابية. كما أن إعداد منع دخول root بكلمة مرور يضيف حماية مباشرة لهذا الحساب في الإعداد الافتراضي، لكنه لا يلغي الخطر عن الحسابات الأخرى التي قد تملك صلاحيات تصعيد مثل doas.

OpenSSH 10.6p2 يعالج المسار.. وAlpine توفر تحديثات

يتضمن OpenSSH 10.6p2 التغيير الذي يمنع قبول نتيجة تحقق غير صالحة عندما يكون حقل كلمة مرور الحساب أقصر من أن يحتوي على قيمة تجزئة صالحة. ويصف المشروع هذا التغيير بأنه workaround، لأن السبب الجذري يرتبط بسلوك مكتبة النظام وتفاعل المكونات، وليس خللًا محصورًا بالكامل داخل OpenSSH.

كما أعلنت Alpine عن حزم مصححة لفروعها، بما في ذلك الإصدارات 3.21.10 و3.22.8 و3.23.8 و3.24.4، مع توفير backports لفروع أقدم بدءًا من 3.16. وبالنسبة إلى الأنظمة التي تبني OpenSSH بنفسها، فإن الإصدار 10.6p2 هو الإصدار الذي يتضمن المعالجة في المصدر الأصلي.

ما الذي ينبغي على مسؤولي الخوادم فعله؟

إذا كنت تدير خادم Alpine أو أي بيئة Linux تستخدم musl، فلا تعتمد على اسم التوزيعة وحده للحكم على التعرض. راجع طريقة بناء OpenSSH وإعدادات PAM ومصادقة كلمات المرور، وتأكد من وجود حسابات لا تملك كلمات مرور فعلية.

• حدّث حزم Alpine: استخدم مدير الحزم الرسمي، ويمكن تنفيذ apk upgrade -U -a لتحديث الحزم المتاحة.
• أعد تشغيل خدمة SSH: بعد تثبيت التحديث، أعد تشغيل sshd حتى تتوقف العملية القديمة عن استخدام الملف التنفيذي السابق. في Alpine يمكن تنفيذ rc-service sshd restart.
• إن تعذر التحديث فورًا: أوصى مطورو OpenSSH بتعطيل مصادقة كلمات المرور أو تعطيل خدمة SSH مؤقتًا على الأنظمة المعرضة، عبر ضبط PasswordAuthentication no.
• تجنب فقدان الوصول: قبل تعطيل كلمات المرور، تحقق من أن تسجيل الدخول بمفتاح SSH يعمل من جلسة جديدة، واحتفظ بجلسة الإدارة الحالية مفتوحة. اختبر الإعداد باستخدام sshd -t قبل إعادة تشغيل الخدمة.
• راجع السجلات: افحص سجلات sshd بحثًا عن تسجيل دخول ناجح بكلمة مرور إلى حساب معروف بأنه مخصص للمفاتيح فقط، وراجع أي استخدام غير معتاد لصلاحيات doas أو تغييرات في المستخدمين ومفاتيح authorized_keys.

يشير تقرير The Hacker News إلى عدم رصد هجمات استغلت الخلل فعليًا وقت نشر التقرير. لكن غياب تقارير الاستغلال لا يلغي ضرورة المعالجة، خصوصًا أن شروط الهجوم قد تتحقق في بعض صور الخوادم والحاويات دون أن ينتبه المسؤول إلى أن حزمة OpenSSH تعمل دون PAM.

لماذا صدر التحديث بهذه السرعة؟

قال مطور OpenSSH Damien Miller إن الفريق علم بالمشكلة قبل إصدار التحديث بيوم تقريبًا، وإنه فضّل إصدار المعالجة فورًا بدل انتظار دورة إصدار دورية. وأشار المشروع في ملاحظات الإصدار إلى تزايد بلاغات الثغرات التي تساعد أدوات الذكاء الاصطناعي في اكتشافها، وإلى حالات أعادت فيها أنظمة أخرى اكتشاف المشكلة نفسها خلال ساعات.

لا يعني ذلك أن الذكاء الاصطناعي هو من اكتشف هذه الثغرة تحديدًا؛ فقد نسب المشروع البلاغ إلى الباحث Özgün Kültekin من Wakefield، لكنه أوضح أن تسارع إعادة اكتشاف الثغرات جعل فترات الحظر الطويلة قبل الإصلاح أكثر خطورة في بعض الحالات.

الخلاصة

يمثل OpenSSH 10.6p2 تحديثًا عاجلًا لمجموعة محددة من بيئات Linux التي تستخدم musl دون PAM، وليس تحديثًا يعني أن جميع خوادم SSH معرضة للخطر. الأولوية لمشغلي Alpine والأنظمة المشابهة هي التأكد من إعدادات المصادقة، تثبيت الحزم المصححة، وإعادة تشغيل خدمة SSH، أو تعطيل تسجيل الدخول بكلمة مرور مؤقتًا عند تعذر التحديث.

المصادر

• The Hacker News: OpenSSH Issues Emergency Fix for Flaw Letting Long Passwords Bypass SSH Auth on Alpine Linux
• OpenSSH Official Release Notes: Version 10.6p2
• LWN.net: Critical security vulnerability affects OpenSSH on Alpine Linux systems
• Alpine Linux: Official stable release files