Если sshd выполняется с правами рута, то искать сплойт под ядро необязательно. Ищи ломалку OpenSSH, удаленно выполняющую произвольный код, команды будут производиться от имени суперпользователя. Если это не проканает, то GSSAPIAuthentication отключено и иди методом, описанным выше - подбирай логин/пасс на 22 порт, логинься и смотри, какое у чела ядро