Una vulnerabilidad recientemente descubierta en sistemas Linux ha generado preocupación entre los administradores de seguridad. Denominada *sshole y catalogada como CVE-2026-123158, esta falla permite el acceso a cuentas sin necesidad de conocer la contraseña, lo que representa un riesgo significativo para la integridad de los sistemas afectados.
Detalles de la vulnerabilidad
El problema se ha identificado principalmente en configuraciones de Alpine Linux que utilizan OpenSSH junto con la biblioteca musl, y que no implementan el módulo PAM para la gestión de autenticación. Esta combinación permite que, en ciertas condiciones, se pueda acceder a cuentas que deberían estar protegidas por contraseña.
El investigador Özgün Kültekin fue quien descubrió esta vulnerabilidad, que se basa en cómo OpenSSH verifica las contraseñas. Cuando el sistema no encuentra los datos necesarios para autenticar a un usuario, puede utilizar información de otra cuenta, permitiendo así el acceso no autorizado. Este fallo se produce especialmente cuando la contraseña ingresada tiene entre 257 y 1.024 bytes, lo que lleva a que el sistema devuelva un asterisco (*) como indicativo de error, pero que en realidad coincide con la cuenta protegida.
Historia del problema
La raíz de esta vulnerabilidad se remonta a cambios realizados en 2012 en la biblioteca musl, que alteraron la forma en que se comunicaban ciertos errores. Posteriormente, OpenSSH y Alpine realizaron modificaciones en sus sistemas que, aunque buscaban solucionar problemas distintos, terminaron interactuando de manera inesperada y creando esta nueva vulnerabilidad.
Alcance y riesgos potenciales
No todos los sistemas que utilizan Alpine Linux son vulnerables. Para que se produzca el acceso no autorizado, deben cumplirse varias condiciones, como que OpenSSH funcione sin PAM y que exista una cuenta local activa con un hash de contraseña compatible. Esto implica que los sistemas que desactivan la autenticación por contraseña o que utilizan PAM no están en riesgo.
Sin embargo, las consecuencias pueden ser severas, especialmente si la cuenta comprometida tiene permisos elevados. Por ejemplo, algunas imágenes oficiales de Alpine utilizadas en la nube permiten que el usuario alpine ejecute comandos de administrador sin necesidad de contraseña. Si se configura una cuenta con un hash de contraseña compatible, un atacante podría tomar control del sistema. La firma de ciberseguridad Previdian ha reportado intentos de explotación, incluyendo accesos no autorizados a servidores de prueba.
Respuesta y soluciones
Ante la gravedad de la situación, OpenSSH lanzó el 5 de noviembre la versión 10.6p2 para corregir la vulnerabilidad, mientras que Alpine distribuyó actualizaciones para diversas ramas de su sistema. Es crucial que los administradores no solo instalen los parches, sino que también reinicien el servicio SSH para que los cambios surtan efecto. En caso de no poder actualizar, se recomienda desactivar la autenticación por contraseña y verificar que el acceso mediante claves SSH funcione correctamente.
La identificación y corrección de esta vulnerabilidad subraya la importancia de mantener los sistemas actualizados y de implementar prácticas de seguridad robustas para proteger la integridad de los datos y la infraestructura tecnológica.
Fuente: Información elaborada a partir de la publicación original.
