Z

aczniemy od podatności CVE-2026-123158, która była w „ukryciu” przez ponad 10 lat. Sprawdzanie haseł w systemach *nix jest w założeniu bardzo proste. Każde konto ma zapisany hasz hasła (najlepiej w wariancie, który zapewnia dobrą ochronę), który jest przechowywany w pliku /etc/shadow. Podczas logowania system haszuje to, co wpisaliśmy, przy użyciu tej samej soli i sprawdza, czy wynik jest zgodny. Konta, które nigdy nie powinny akceptować hasła – takie jak użytkownik do uruchamiania daemonów (nobody, www-data) lub wdrażania kodu – korzystający wyłącznie z kluczy SSH (w tym root) na wielu obrazach chmurowych – otrzymują znak „*” (gwiazdki) zamiast haszu. Ponieważ znak „*” nie jest prawidłowym haszem, żadnego hasło nie może do niego pasować. Ta konwencja sięga czasów systemu Unix BSD z 1980 roku. Autor podatności – Özgün Kültekin – o nazwie sshole szczegółowo wyjaśnia, jak trzy rozsądne decyzje podjęte na przestrzeni lat skumulowały się w taki sposób, że powstała luka bezpieczeństwa.
[ czytaj całość… ]