Seguridad · 10 de noviembre de 2026
Alpine Linux y OpenSSH corrigen vulnerabilidad crítica de seguridad
Alpine Linux y OpenSSH han aplicado parches para solucionar una vulnerabilidad grave que permitía a los atacantes tomar el control total de los sistemas.
Según el aviso de seguridad de Alpine Linux, un atacante con acceso al puerto de Secure Shell podía infiltrarse en un servidor vulnerable mediante una sola conexión. El proyecto indicó que el ataque tenía éxito en cada intento y no requería repeticiones.
La vulnerabilidad, identificada como CVE-2026-123158, afecta a los sistemas que ejecutan Alpine Linux u otras distribuciones que utilizan la biblioteca musl, siempre que tengan instalado el paquete openssh-server predeterminado sin módulos de autenticación enchufables y con la autenticación por contraseña activada. En estas condiciones, un atacante podía iniciar sesión en cuentas dedicadas exclusivamente a claves públicas o cuentas con contraseñas desactivadas enviando una contraseña con una longitud de entre 257 y 1024 bytes.
El problema se origina en la función crypt de la biblioteca musl. Cuando se le entrega una clave que supera los 256 bytes, la función devuelve el carácter asterisco como una cadena de error. Debido a que las cuentas sin contraseña configurada también almacenan el carácter asterisco en su campo de contraseña, el sistema determinaba que los valores coincidían y permitía el acceso. Para explotar este fallo, el atacante necesitaba el nombre de la cuenta objetivo y que existiera al menos una cuenta con un hash de contraseña de cinco o seis caracteres en el sistema. Alpine Linux señaló que si existía un solo usuario con contraseña, todas las cuentas sin contraseña resultaban accesibles.
Otras distribuciones que utilizan musl y que podrían verse afectadas incluyen Adelie Linux, Void Linux, Sabotage Linux, OpenWrt y Yocto Project. Por su parte, Wind River informó que está evaluando el alcance del impacto y verificando la vulnerabilidad para tomar las medidas necesarias.
El grupo *sshole afirmó que este fenómeno era un efecto secundario latente desde 2016. Los sistemas que utilizan la función crypt de glibc, como Debian, Ubuntu y Fedora, no se ven afectados porque dicha función devuelve un valor nulo ante errores, lo que permite que el servicio de demonio de SSH rechace la conexión adecuadamente.