Linux SSH無断ログイン脆弱性「*sshole」発覚
原題: Meet *sshole, the vulnerability that lets hackers SSH into Linux devices
なぜ重要か
組み込みデバイスやコンテナ環境に広く普及するAlpineへの影響は大きく、パッチ適用が困難な機器が多数残存するリスクがある。
2026年11月5日、Alpine Linuxなど特定構成のLinuxデバイスに対し、パスワードなしでSSHログインを可能にする脆弱性「*sshole」が公表された。OpenSSHとmuslライブラリの組み合わせに起因し、Docker Hub上のAlpine基本イメージは10億超のダウンロード数を持つ。Shodan上でSSHポート22番が開放されているシステムは約2,200万件に上る。
Alpine Linuxおよびmuslライブラリを使用する他のLinuxディストリビューションに、約10年前から存在していた脆弱性が確認された。発見者が「*sshole」と命名したこの脆弱性は、OpenSSHとmusl（標準libcの軽量代替ライブラリ）の相互作用に起因し、PAM（Pluggable Authentication Modules）を使用しない構成でのみ発現する。
攻撃が成立するには複数の条件が揃う必要がある。対象システムにSHA256またはSHA512でハッシュ化されたパスワードを持つユーザーアカウントが少なくとも1件存在すること、かつ攻撃対象のアカウントが/etc/shadowのパスワードフィールドに「*」を指定したパスワードレス設定であることが条件だ。パスワードレスアカウントは証明書認証を用いるアカウントで一般的に採用されている。
条件が揃った場合、攻撃者はパスワードフィールドに256文字以上の文字列を入力するだけで認証を突破できる。Alpineのメンテナーは「SSHポートに到達できる攻撃者は、パスワードを一切知らずにログインできる。接続1回で必ず成功し、リトライも不要だ」と警告した。
セキュリティ企業CheckpointはSHA256・SHA512関数の存在が攻撃成立に不可欠である理由を説明しており、「sshdがそのアカウントのsaltを借用するため、これがなければ攻撃は失敗する」と述べた。また、デフォルトのPermitRootLogin設定ではrootアカウントは保護されるが、doasやsudo権限を持つアカウントが侵害されれば間接的にroot権限を取得される危険があるとも指摘した。
Alpineはルーター、スマートTV、産業用コントローラーなどの組み込みデバイスに広く採用されており、更新が困難または不可能な機器も多い。近年はデスクトップ・サーバー用途やコンテナイメージでの利用も増加している。セキュリティ企業Detectifyによれば、ShodanではSSHポート22番を開放しているシステムが約2,200万件確認されており、脆弱な条件を満たすシステムの特定に大きな手間は要しないとされる。