Radicato in piena vista: il segreto quindicennale di OpenSSH svelato

Nel mondo della cybersecurity, alcune minacce non si annidano nell’ombra, ma negli angoli trascurati del codice. Per quindici anni, un’insidiosa falla in OpenSSH - uno degli strumenti di sicurezza più affidabili di internet - ha rischiato in silenzio di concedere agli attaccanti pieno accesso root, lasciando organizzazioni in tutto il mondo esposte a loro insaputa. Ora, mentre si posa la polvere dopo la scoperta, incombe la domanda: come ha potuto una vulnerabilità così critica restare nascosta così a lungo?

L’anatomia di una violazione silenziosa

Il bug - ora tracciato come CVE-2026-35414 con un punteggio CVSS di 8,1 - affondava le radici in una sottile svista di programmazione. Al suo cuore: una fiducia mal riposta nel modo in cui OpenSSH analizzava i nomi utente, o “principal”, nei certificati crittografici. Quando le autorità di certificazione (CA) emettevano un certificato SSH con un nome principal contenente una virgola (per esempio, deploy,root), il parser di OpenSSH interpretava erroneamente la virgola come un separatore, non come parte del nome. Questo permetteva a qualunque utente in possesso di un certificato del genere di aggirare i normali controlli di accesso e accedere come root - l’account più potente sui sistemi Unix-like.

Cyera, l’azienda di cybersecurity che ha portato alla luce la falla, ha dimostrato quanto potesse essere banale lo sfruttamento: “Abbiamo scritto un certificato di test con una virgola letterale nel campo principal, lo abbiamo puntato a un server di test e abbiamo ottenuto root. L’intera cosa ha richiesto circa venti minuti, da ‘qui c’è qualcosa che non torna’ a un exploit funzionante.”

Ciò che rendeva questo bug particolarmente allarmante era la sua furtività. Poiché l’autenticazione appariva legittima al server, nei log non venivano registrati errori né voci sospette. I tradizionali strumenti di monitoraggio basati sul rilevamento tramite log risultavano inutili. In pratica, gli attaccanti potevano intrufolarsi, elevare i privilegi e operare come root - senza lasciare impronte.

Perché è successo?

La causa principale risiedeva nel riuso del codice e nella gestione incoerente delle stringhe dei principal. Una funzione responsabile della negoziazione dei cifrari e dello scambio di chiavi trattava le virgole come separatori, spezzando i nomi dei principal; un’altra trattava lo stesso principal come un’unica stringa. Quando queste discrepanze si allineavano nel modo giusto, aprivano la porta all’escalation dei privilegi.

Data l’ubiquità di OpenSSH in ambienti enterprise, cloud e infrastrutturali, le implicazioni erano enormi. Qualsiasi organizzazione che utilizzasse versioni vulnerabili di OpenSSH con autenticazione basata su certificati correva il rischio di una compromissione root non rilevabile.

Un campanello d’allarme per la comunità della sicurezza

La falla è stata corretta in OpenSSH 10.3, rilasciato nell’aprile 2024, ma l’episodio sottolinea la sfida persistente di mettere in sicurezza il software fondamentale. Mentre le organizzazioni si affannano a verificare e aggiornare i propri sistemi, l’incidente funge da monito severo: anche gli strumenti più fidati possono nascondere segreti pericolosi e, a volte, il diavolo è davvero nei dettagli.

WIKICROOK

• OpenSSH: OpenSSH è un popolare strumento open-source che cifra le connessioni remote, consentendo l’amministrazione sicura dei sistemi e i trasferimenti di file attraverso le reti.
• Accesso root: L’accesso root è il livello più alto di controllo del sistema, che consente modifiche, eliminazioni o accesso senza restrizioni a qualsiasi file e impostazione su un dispositivo.
• Autorità di certificazione (CA): Un’Autorità di certificazione (CA) è un’entità fidata che emette e verifica certificati digitali, garantendo comunicazioni online sicure e autentiche.
• Punteggio CVSS: Un punteggio CVSS valuta la gravità delle vulnerabilità di sicurezza da 0 a 10, con numeri più alti che indicano maggiore rischio e urgenza di risposta.
• Principal: Un principal è un utente o un’entità nominata in un certificato SSH, usata per identificare chi può autenticarsi e accedere a sistemi o risorse protette.