Linux SSH 무단 접속 취약점 '*sshole' 발견
원제: Meet *sshole, the vulnerability that lets hackers SSH into Linux devices
왜 중요한가
임베디드·컨테이너 환경에 광범위하게 쓰이는 Alpine의 취약점이므로, 미패치 기기가 대규모 공격에 노출될 수 있다.
2026년 11월 5일, Alpine Linux 등 일부 Linux 배포판에서 비밀번호 없이 SSH 접속이 가능한 10년 된 취약점 '*sshole'이 공개됐다. OpenSSH와 경량 라이브러리 musl의 상호작용 문제로, SSH 포트에 접근 가능한 공격자가 단 한 번의 연결로 시스템에 침투할 수 있다.
Alpine Linux 및 동일한 설정을 사용하는 다른 배포판이 영향을 받는다. 이 취약점은 OpenSSH, musl 라이브러리, 그리고 PAM(Pluggable Authentication Modules)을 사용하지 않는 조합이 맞아떨어질 때 발생한다.
공격 성공에는 몇 가지 조건이 필요하다. 대상 시스템에 SHA256 또는 SHA512 함수로 해시된 패스워드 계정이 최소 하나 존재해야 하며, 공격 목표 계정은 '/etc/shadow' 파일의 패스워드 필드에 "*"가 지정된 비밀번호 없는(passwordless) 계정이어야 한다. 이 조건이 충족되면 공격자는 비밀번호 필드에 256자 이상을 입력하는 것만으로 로그인에 성공한다.
Alpine 유지관리팀은 "SSH 포트에 접근 가능한 공격자는 비밀번호를 몰라도 로그인할 수 있으며, 한 번의 연결로 매번 성공하고 재시도도 필요 없다"고 밝혔다. 보안업체 Checkpoint는 SHA256·SHA512 함수가 중요한 이유로 sshd가 해당 계정의 salt를 빌려 쓰기 때문이라고 설명했다. 기본 설정인 'PermitRootLogin prohibit-password' 하에서 root 계정은 직접 공격에서 안전하지만, doas 또는 sudo 권한을 가진 계정은 여전히 root로 권한 상승이 가능하다.
Docker Hub의 Alpine 기본 이미지 다운로드 수는 10억 건을 넘으며, Alpine은 라우터·스마트 TV·산업용 컨트롤러 등 업데이트가 어려운 임베디드 기기에 광범위하게 사용된다. 보안업체 Detectify에 따르면 Shodan 기준 약 2,200만 개 시스템이 포트 22로 SSH를 개방 중이다. 취약 조건을 충족하는 시스템은 그 중 일부지만, 각 시스템의 테스트가 빠르고 쉬운 만큼 취약 대상 탐색에 큰 노력이 필요하지 않다.