OpenSSH Güvenlik Açığı: Alpine Linux'ta 257 Karakterlik Herhangi Bir Parola Giriş Sağlıyordu

OpenSSH güvenlik açığı nedeniyle Alpine Linux başta olmak üzere bazı Linux sunucuları 10 yıl boyunca ciddi bir riskle karşı karşıya kalmış. OpenSSH ekibi, 5 Kasım 2026'da yayımladığı Portable OpenSSH 10.6p2 sürümüyle, musl C kütüphanesini kullanan ve PAM desteği kapalı Linux sistemlerde parola doğrulamasının atlatılmasına yol açan kritik bir hatayı kapattı. Açığı keşfeden güvenlik şirketi Wakefield'a göre etkilenen sunucularda, parolası olmayan hesaplara 257 ile 1.024 karakter arasındaki herhangi bir parolayla giriş yapılabiliyordu.

OpenSSH güvenlik açığı nasıl çalışıyor?

Linux'ta bazı hesapların bilinçli olarak parolası yoktur. Bu hesapların parola alanında yalnızca bir yıldız (*) işareti bulunur ve normalde hiçbir parola bu değerle eşleşemez. Alpine'de root hesabı, yalnızca SSH anahtarıyla giriş yapan kullanıcılar ve LDAP kullanıcıları bu türden hesaplara örnek. Wakefield'ın raporuna göre etkilenen sunucularda bu hesaplar, uzunluğu 257 ile 1.024 karakter arasında olan her parolayı kabul ediyordu.

Hatanın kökeni, üç farklı projede yıllar arayla yapılan üç ayrı değişikliğe dayanıyor. musl 2012'de parola özetleme hatalarını bildirme biçimini değiştirip hizmet reddi saldırılarını önlemek için parola uzunluğuna sınır koydu. OpenSSH 2016'da bir zamanlama sızıntısını kapatmak için bazı hesaplarda parola kontrolünü değiştirdi. Alpine ise 2022'de SSH anahtarıyla girişin yeniden çalışması için root hesabının parola alanını değiştirdi. Her biri kendi başına makul olan bu değişiklikler bir araya geldiğinde güvenlik açığı ortaya çıktı. OpenSSH ekibi de sürüm notlarında hatanın kök nedeninin sshd'nin dışında olduğunu, ancak sshd üzerinden istismar edilebildiği için düzeltmeyi kendi tarafında yaptıklarını belirtiyor.

Hangi sistemler etkileniyor?

Wakefield'a göre bir sunucunun etkilenmesi için şu koşulların hepsinin bir arada bulunması gerekiyor:

• Sistemin musl libc üzerinde çalışması (Alpine, OpenWrt, postmarketOS, Void'in musl sürümü, Chimera ve musl kullanan Buildroot/Yocto derlemeleri gibi).
• OpenSSH'in PAM olmadan çalışması. Alpine'in standart openssh-server paketi PAM'siz derleniyor.
• SSH parola girişinin açık olması (OpenSSH'te varsayılan ayar).
• En az bir hesabın parola alanının tam olarak "*" olması.
• Başka en az bir hesabın gerçek bir SHA-256 veya SHA-512 parola özetine sahip olması.

Debian, Ubuntu, Fedora gibi glibc tabanlı dağıtımlar, PAM ile çalışan OpenSSH kurulumları, Dropbear SSH sunucusu, OpenBSD, FreeBSD ve macOS etkilenmiyor. Ubuntu'nun yeni sürümündeki OpenSSH değişikliklerini Ubuntu 26.04.1 LTS yazımızda ele almıştık.

Bulut sunucularında root erişimi riski

Açığın en tehlikeli sonucu bulut ortamlarında ortaya çıkıyor. Wakefield'a göre Alpine'in resmî AWS ve Azure imajlarındaki varsayılan "alpine" kullanıcısı parolası olmayan bir hesap ve doas aracılığıyla parola sormadan root yetkisiyle komut çalıştırabiliyor. Bu sunucularda başka herhangi bir hesaba parola atanmışsa, SSH portuna erişebilen bir saldırgan doğrudan root yetkisi elde edebiliyordu. PermitRootLogin ayarı açık sunucularda ise doğrudan root olarak giriş yapmak mümkündü. Açık, 2016'da yayımlanan OpenSSH 7.3p1'den bu yana istismar edilebilir durumdaydı.

Ne yapmalısınız?

Sunucunuzun bu OpenSSH güvenlik açığından etkilenip etkilenmediğinden emin değilseniz şu adımları izleyin:

• Güncelleyin: OpenSSH'i 10.6p2'ye ya da düzeltmeyi içeren dağıtım paketine yükseltin. Alpine'de apk upgrade openssh komutu yeterli. Güncellemeden sonra SSH sunucusunu yeniden başlatmayı unutmayın.
• Hemen güncelleyemiyorsanız: SSH sunucu yapılandırmasında PasswordAuthentication no ayarını yapıp sunucuyu yeniden başlatın. Wakefield'a göre bu, açığı tamamen kapatıyor.
• Kayıtları kontrol edin: Parola alanı "*" olan bir hesap için SSH kayıtlarında "Accepted password" satırı görürseniz, o sunucunun ele geçirilmiş olabileceğini varsayıp inceleme başlatın.

Wakefield ayrıca bir sunucunun etkilenip etkilenmediğini ve hangi hesapların risk altında olduğunu gösteren bir kontrol betiği yayımladı. Eski OpenSSH sürümleri için hazırlanan yama da 7.3p1'den sonraki tüm sürümlere uygulanabiliyor.

Açığı yapay zekâ ajanları buldu

Wakefield, açığı OpenSSH'i glibc ve musl, PAM'li ve PAM'siz gibi olası tüm yapılandırmalarda derleyip yapay zekâ ajanlarıyla yaklaşık 17.600 sıra dışı giriş denemesi yaparak bulduğunu açıkladı. Tüm derlemeler aynı yanıtı verirken yalnızca PAM'siz musl derlemesi diğerlerinin reddettiği girişleri kabul etti. Açığı bulan araştırmacı Özgün Kültekin, hatayı 3 Kasım'da OpenSSH ekibine bildirdi; ekip bir saat içinde yama gönderdi. 4 Kasım'da Alpine ve musl geliştiricileri bilgilendirildi, 5 Kasım'da ise düzeltilmiş sürüm ve Alpine paketleri yayımlanarak açık kamuoyuna duyuruldu.

OpenSSH ekibi de sürüm notlarında son dönemde yapay zekâ modelleriyle bulunan çok sayıda güvenlik raporu aldığını, yapay zekâ araçlarının bulduğu bazı hataların başka araştırmacılarca da bağımsız olarak keşfedildiğini belirtiyor. Ekibe göre bu, açıkları bildirmeyen saldırganların da aynı hataları bulabileceğini gösteriyor; bu nedenle OpenSSH bir süre düzeltmeleri biriktirmek yerine daha sık sürüm yayımlayacak. Yapay zekâ destekli taramanın açık sayısına etkisini Firefox 159 yazımızda da görmüştük.