Alpine Linux và OpenSSH vá lỗ hổng ở mức độ đặc biệt nghiêm trọng

Công nghệ > An ninh mạng Alpine Linux và OpenSSH vá lỗ hổng ở mức độ đặc biệt nghiêm trọng Lỗ hổng bảo mật Linux nguy hiểm này cần được vá càng sớm càng tốt. Steven Vaughan-Nichols Biên tập viên cao cấp Steven J.… Đọc toàn bộ tiểu sử Steven Vaughan-Nichols Biên tập viên cao cấp Đọc toàn bộ tiểu sử Ngày 6/11/2026, 19:00 ET Thời gian đọc: 4 phút RNMitra/iStock/Getty Images Plus Điểm tin chính từ ZDNET Một lỗi bảo mật tồn tại từ lâu đang ảnh hưởng đến Alpine Linux và một số bản phân phối Linux khác. Mức độ nghiêm trọng của sự cố ở mức cao nhất. Người dùng cần áp dụng bản vá ngay lập tức, sau đó khởi động lại phần mềm đã được vá. Kịch bản tồi tệ nhất đối với máy chủ Linux là khi kẻ tấn công chỉ cần tiếp cận cổng Secure Shell (SSH) của máy chủ, dễ dàng xâm nhập và chiếm toàn quyền kiểm soát. Tình huống này vừa xảy ra với Alpine Linux, hệ điều hành máy chủ Linux gọn nhẹ và phổ biến. Đáng chú ý, sự cố diễn ra chỉ vài ngày sau khi Alpine Linux vừa khắc phục thành công một lỗ hổng bảo mật nghiêm trọng trên hệ thống GitLab. Xem thêm: Linux Mint 27 chuẩn bị ra mắt vào tháng tới: Những thông tin đáng chú ý Tin nổi bật Alpine Linux tái thiết lập máy chủ GitLab sau sự cố sát nút – những nội dung cần kiểm tra ngay lập tức Ngày 5/11/2026 Thử nghiệm thay thế Claude Code bằng hệ sinh thái AI cục bộ hoàn toàn miễn phí – kết quả ghi nhận Ngày 6/11/2026 Thử nghiệm máy tính xách tay RTX Spark của HP với mức xử lý 50 triệu token AI – ghi nhận chi phí 0 USD Ngày 6/11/2026 Mức độ nghiêm trọng của sự việc ở mức cao nhất. Trong khuyến cáo bảo mật, đội ngũ Alpine Linux giải thích rằng nếu kẻ tấn công tiếp cận được cổng SSH của máy chủ bị ảnh hưởng, chúng có thể xâm nhập “chỉ bằng một kết nối” và phương thức tấn công này “luôn thành công, không cần thử lại”. Xem thêm từ ZDNET Phương thức tấn công Kỹ sư an ninh mạng Gregory Bryant giải thích trong bài đăng trên mạng xã hội LinkedIn: “Hầu hết các trường hợp vượt qua xác thực đều bắt nguồn từ các chuỗi logic phức tạp, nhưng lỗ hổng OpenSSH trên Alpine Linux (CVE-2026-123158) vừa qua lại bắt nguồn từ một ký tự duy nhất: *.” Nếu hệ thống vận hành Alpine Linux (hoặc một bản phân phối khác dựa trên musl) với gói openssh-server mặc định (không sử dụng Pluggable Authentication Modules (PAM)) và kích hoạt tính năng PasswordAuthentication, kẻ tấn công có thể đăng nhập vào các tài khoản bị vô hiệu hóa mật khẩu hoặc tài khoản chỉ sử dụng khóa xác thực chỉ bằng cách gửi một chuỗi mật khẩu có độ dài từ 257 đến 1.024 byte. Toàn bộ cuộc tấn công chỉ diễn ra như vậy. Alpine Linux không phải là hệ điều hành duy nhất sử dụng musl, một phiên bản rút gọn của thư viện C tiêu chuẩn (libc). Các hệ điều hành khác sử dụng musl và tiềm ẩn nguy cơ bị ảnh hưởng bao gồm: Adélie Linux; Void Linux; Sabotage Linux; OpenWrt; một biến thể của Android; cùng Yocto Project, dự án được sử dụng để xây dựng các bản phân phối Linux nhúng. Xem thêm: Chiêu trò lừa đảo ngân hàng tinh vi tiếp tục tấn công giả mạo bằng cách tự dựng kịch bản ngừng hoạt động Hãng Wind River, đơn vị phát triển bản phân phối Linux nhúng thương mại Wind River Linux, cũng đang tiến hành điều tra sự cố. Đại diện doanh nghiệp cho biết: “Wind River luôn coi trọng công tác an ninh mạng. Chúng tôi đang tích cực rà soát lỗ hổng được báo cáo và đánh giá các tác động tiềm ẩn. Đơn vị sẽ thực hiện các biện pháp ứng phó cần thiết”. Về mặt kỹ thuật, khi OpenSSH được xây dựng mà không có PAM, hệ thống sẽ xác thực mật khẩu bằng cách băm mật khẩu nhập vào thông qua hàm crypt() của thư viện C. Sau đó, kết quả được so sánh với trường mật khẩu đã lưu của tài khoản. Về cơ bản, quy trình này hoạt động bình thường. Tuy nhiên, khi một khóa có độ dài vượt quá 256 byte, hàm crypt() của thư viện musl sẽ trả về chuỗi ký tự "*" để báo lỗi. Đây cũng là giá trị được lưu tại trường mật khẩu của bất kỳ tài khoản nào không đặt mật khẩu, chẳng hạn như tài khoản chỉ sử dụng khóa bảo mật. Do đó, chuỗi băm trùng khớp, quá trình đăng nhập thành công và kẻ tấn công có thể xâm nhập hệ thống. Đọc thêm: Bản phân phối Cutefish Linux mới có thể là phiên bản mô phỏng MacOS tốt nhất hiện nay Để khai thác lỗ hổng, kẻ tấn công chỉ cần biết tên của một tài khoản như vậy. Đồng thời, trên máy phải có ít nhất một tài khoản khác sử dụng hàm băm mật khẩu 5 hoặc 6, sau đó gửi một mật khẩu có độ dài từ 257 đến 1.024 byte. Theo Alpine, chỉ cần một người dùng có mật khẩu là đủ để toàn bộ các tài khoản không có mật khẩu đều có thể bị truy cập. Trên các hệ thống Linux sử dụng hàm crypt() của glibc (chiếm phần lớn hiện nay), hành vi tương tự sẽ trả về giá trị NULL khi có lỗi. Giá trị này vốn đã bị sshd từ chối, do đó các bản phân phối như Debian, Ubuntu, Fedora... không bị ảnh hưởng. Theo *sshole, nhóm phát hiện vấn đề, đây là một lỗi tiềm ẩn kể từ năm 2016. Các đối tượng chịu ảnh hưởng Alpine cho biết mọi phiên bản được kiểm tra đều bị ảnh hưởng: từ 3.21 đến 3.24, nhánh edge, và các nhánh cũ hơn từ 3.16 đến 3.20. Điều kiện phát sinh lỗ hổng bao gồm: Gói openssh-server được biên dịch không có PAM, hoặc gói openssh-server-pam có cấu hình UsePAM no. Tham số PasswordAuthentication được thiết lập là yes, vốn là mặc định của OpenSSH. Một tài khoản có trường mật khẩu là "*", và một tài khoản khác có hàm băm 5 hoặc 6. Tài khoản root không bị ảnh hưởng trực tiếp trong phần lớn các trường hợp. Giá trị này đã được thiết lập là root:* trong bản cài đặt gốc từ phiên bản Alpine 3.16, nhưng thiết lập mặc định PermitRootLogin prohibit-password của OpenSSH đã ngăn chặn nguy cơ này. Tuy nhiên, một tài khoản khác có quyền nâng cấp lên root, ví dụ thông qua doas, vẫn tạo cơ hội cho kẻ tấn công chiếm quyền điều khiển root. Alpine đặc biệt lưu ý các bản cài đặt đám mây rút gọn chính thức (tiny-cloud images), từ phiên bản 3.18.11 đến 3.24.3, là nhóm có mức độ rủi ro cao. Các phiên bản này đi kèm tài khoản người dùng "alpine" có trường mật khẩu mang giá trị "*" và quyền doas không cần mật khẩu. Hệ thống an toàn trong lần khởi động đầu tiên, nhưng có thể bị tấn công ngay khi xuất hiện bất kỳ hàm băm 6 nào trên máy. Tình huống này xảy ra khi quản trị viên thiết lập mật khẩu bảng điều khiển hoặc khi dữ liệu người dùng bổ sung một tài khoản có mật khẩu đã băm, đồng nghĩa với việc hầu như toàn bộ hệ thống đều bị ảnh hưởng. Alpine cho biết các trường hợp sau không bị ảnh hưởng: Các container không chạy sshd. Các hệ thống đã tắt tính năng xác thực bằng mật khẩu. Các hệ thống sử dụng openssh-server-pam với cấu hình UsePAM yes. Các tài khoản bị khóa có ký tự "!" trong trường mật khẩu. Các bản cài đặt đám mây được cấu hình thông qua cloud-init, công cụ tự động ghi PasswordAuthenti