Vulnerabilidad crítica en Linux permite acceso sin contraseña
Una vulnerabilidad crítica en Linux expone sistemas a acceso sin contraseña
Una vulnerabilidad crítica en Linux identificada como CVE-2026-123158, bautizada como *sshole, ha puesto en alerta a administradores de sistemas en todo el mundo. Esta vulnerabilidad en Linux permite acceder de forma remota a cuentas específicas sin necesidad de conocer la contraseña válida, afectando principalmente a configuraciones de Alpine Linux que combinan OpenSSH con la biblioteca musl, prescindiendo del mecanismo PAM de autenticación. El investigador Özgün Kültekin, de Wakefield, descubrió este crítico fallo de seguridad, tras lo cual tanto OpenSSH como Alpine publicaron correcciones inmediatas el 5 de noviembre para evitar su explotación.
¿Cómo funciona la elusión de contraseña?
El protocolo SSH es fundamental en la administración remota de sistemas Linux, permitiendo conexiones seguras a través de la red. OpenSSH, como principal implementación de SSH, ofrece dos métodos de autenticación: contraseñas y claves criptográficas. En sistemas Linux, el archivo /etc/shadow almacena la información necesaria para verificar contraseñas. Cuando el campo correspondiente contiene un asterisco (*), la autenticación por contraseña debería estar completamente bloqueada, permitiendo solo otros métodos alternativos.
Según detalla el investigador Kültekin, el fallo en esta vulnerabilidad en Linux surge cuando OpenSSH verifica una contraseña en una cuenta que nominalmente no debería aceptarlas. Al no localizar los datos necesarios, el sistema utiliza información de otra cuenta para realizar la verificación. Aquí radica el problema crítico: si la contraseña ingresada tiene entre 257 y 1.024 bytes de longitud, la función de procesamiento en musl devuelve un asterisco para señalar un error. El servidor entonces interpreta ambos valores como coincidentes, permitiendo el acceso no autorizado.
Una década de interacciones imprevistas entre componentes
La génesis de esta vulnerabilidad en Linux es compleja e involucra decisiones de seguridad tomadas en momentos diferentes. En 2012, musl modificó su método de comunicación de errores e implementó un límite de longitud al procesar contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH introdujo cambios para impedir enumeración de usuarios mediante análisis de tiempos de respuesta diferenciados. En 2022, Alpine ajustó la configuración de su cuenta administrativa para facilitar el acceso mediante claves SSH. Cada una de estas medidas resolvía problemas legítimos de seguridad, pero su interacción creó una ventana de vulnerabilidad insospechada.
¿Qué sistemas están realmente en riesgo?
No todos los sistemas Alpine Linux están afectados por esta vulnerabilidad en Linux. Según explican desde la firma de ciberseguridad Check Point, el fallo requiere que se cumplan simultáneamente varias condiciones específicas. OpenSSH debe ejecutarse sin PAM, debe permitir autenticación por contraseña, y debe existir una cuenta cuyo campo de contraseña contenga un asterisco. Adicionalmente, debe haber otra cuenta local activa con un hash de contraseña generado mediante algoritmos SHA-256 o SHA-512. Los sistemas que desactivan completamente la autenticación por contraseña, o aquellos que utilizan PAM para su gestión, quedan fuera de este escenario de riesgo.
Peligro elevado cuando se trata de cuentas privilegiadas
Las consecuencias pueden ser especialmente graves si la cuenta comprometida dispone de permisos elevados. Alpine destaca como ejemplo particularmente preocupante ciertos contenedores y máquinas virtuales en la nube que utilizan imágenes oficiales. En estos entornos, la cuenta alpine puede ejecutar comandos administrativos mediante doas sin requerir contraseña adicional. Aunque estas imágenes son seguras en su primer arranque, pueden volverse vulnerables si posteriormente se configura una cuenta con un hash de contraseña compatible con los requisitos del fallo. Un atacante explotando esta vulnerabilidad en Linux podría obtener control administrativo completo del sistema.
Los indicios de explotación activa ya están documentados. La firma Previdian ha detectado ocho intentos de ataque desde una misma dirección IP, confirmando además un acceso exitoso con privilegios administrativos en uno de sus servidores señuelo utilizados para monitorear actividad maliciosa.
Medidas correctivas urgentes disponibles
La respuesta de la comunidad de código abierto ha sido rápida y decisiva. OpenSSH publicó el 5 de noviembre la versión 10.6p2 que corrige completamente esta vulnerabilidad en Linux. Simultáneamente, Alpine distribuyó actualizaciones para distintas ramas de su sistema, incluyendo versiones antiguas. Sin embargo, simplemente instalar los parches no es suficiente: los administradores deben reiniciar el servicio SSH para que la instancia en ejecución utilice el código corregido.
Para aquellas organizaciones que aún no pueden aplicar actualizaciones inmediatas, se recomienda como medida temporal desactivar completamente la autenticación mediante contraseña en OpenSSH, verificando previamente que el acceso mediante claves criptográficas funciona correctamente. Tras efectuar este cambio, también es esencial reiniciar el servicio SSH para que implemente la configuración modificada.
Lecciones de seguridad en cadenas complejas
Este incidente con la vulnerabilidad en Linux subraya una realidad crucial en la seguridad informática moderna: cuando múltiples componentes interactúan, las decisiones de diseño tomadas de forma independiente pueden generar vectores de ataque imprevistos. Las tres decisiones que condujeron a este fallo eran individualmente correctas y abordaban problemas reales. Solo su convergencia temporal generó la condición de vulnerabilidad. Para administradores de sistemas, esto refuerza la importancia de mantener actualizados todos los componentes, verificar regularmente las configuraciones de seguridad y permanecer atentos a avisos de vulnerabilidades en las dependencias críticas de su infraestructura.