À découvert : le secret de 15 ans d’OpenSSH exposé au grand jour

Dans le monde de la cybersécurité, certaines menaces ne se cachent pas dans l’ombre, mais dans les recoins négligés du code. Pendant quinze ans, une faille insidieuse dans OpenSSH - l’un des outils de sécurité les plus fiables d’Internet - a silencieusement exposé les organisations du monde entier au risque d’un accès root complet, à leur insu. Aujourd’hui, alors que la poussière retombe après sa découverte, une question demeure : comment une vulnérabilité aussi critique a-t-elle pu rester cachée aussi longtemps ?

Anatomie d’une brèche silencieuse

Le bug - désormais référencé sous CVE-2026-35414 avec un score CVSS de 8,1 - trouvait son origine dans une subtile négligence de codage. Au cœur du problème : une confiance mal placée dans la façon dont OpenSSH analysait les noms d’utilisateur, ou “principaux”, dans les certificats cryptographiques. Lorsque les autorités de certification (CA) délivraient un certificat SSH avec un nom de principal contenant une virgule (par exemple, deploy,root), l’analyseur d’OpenSSH interprétait à tort la virgule comme un séparateur, et non comme faisant partie du nom. Cela permettait à tout utilisateur possédant un tel certificat de contourner les contrôles d’accès habituels et de se connecter en tant que root - le compte le plus puissant sur les systèmes de type Unix.

Cyera, la société de cybersécurité qui a découvert la faille, a démontré à quel point l’exploitation pouvait être triviale : « Nous avons écrit un certificat de test avec une virgule littérale dans le champ principal, l’avons utilisé sur un serveur de test, et avons obtenu un accès root. Tout cela a pris environ vingt minutes entre “ça a l’air bizarre” et un exploit fonctionnel. »

Ce qui rendait ce bug particulièrement inquiétant, c’était sa discrétion. Comme l’authentification semblait légitime pour le serveur, aucune erreur ni entrée suspecte n’était enregistrée dans les journaux. Les outils de surveillance traditionnels basés sur l’analyse des logs devenaient donc inutiles. En pratique, les attaquants pouvaient s’introduire, élever leurs privilèges et opérer en tant que root - sans laisser la moindre trace.

Pourquoi cela s’est-il produit ?

La cause profonde résidait dans la réutilisation du code et la gestion incohérente des chaînes de principaux. Une fonction responsable de la négociation des chiffrements et de l’échange de clés traitait les virgules comme des séparateurs, scindant les noms de principaux ; une autre considérait le même principal comme une seule chaîne. Lorsque ces incohérences se rencontraient, elles ouvraient la porte à une élévation de privilèges.

Étant donné l’omniprésence d’OpenSSH dans les environnements d’entreprise, cloud et d’infrastructure, les implications étaient vastes. Toute organisation utilisant des versions vulnérables d’OpenSSH avec une authentification basée sur des certificats s’exposait au risque d’un compromis root indétectable.

Un signal d’alarme pour la communauté sécurité

La faille a été corrigée dans OpenSSH 10.3, publié en avril 2024, mais cet épisode souligne la difficulté persistante de sécuriser les logiciels fondamentaux. Alors que les organisations s’empressent d’auditer et de mettre à jour leurs systèmes, cet incident rappelle crûment que même les outils les plus fiables peuvent receler des secrets dangereux, et que parfois, le diable se cache vraiment dans les détails.

WIKICROOK

• OpenSSH : OpenSSH est un outil open source populaire qui chiffre les connexions à distance, permettant une administration système sécurisée et des transferts de fichiers à travers les réseaux.
• Accès Root : L’accès root est le niveau de contrôle système le plus élevé, permettant des modifications, suppressions ou accès sans restriction à tous les fichiers et paramètres d’un appareil.
• Autorité de Certification (CA) : Une Autorité de Certification (CA) est une entité de confiance qui délivre et vérifie des certificats numériques, garantissant des communications en ligne sécurisées et authentiques.
• Score CVSS : Un score CVSS évalue la gravité des vulnérabilités de sécurité de 0 à 10, les chiffres les plus élevés indiquant un risque et une urgence de réponse accrus.
• Principal : Un principal est un utilisateur ou une entité nommé dans un certificat SSH, utilisé pour identifier qui peut s’authentifier et accéder à des systèmes ou ressources sécurisés.