Seguridad · 8 de noviembre de 2026
OpenSSH publica parche de emergencia para vulnerabilidad crítica en Alpine Linux
OpenSSH ha lanzado la versión 10.6p2 para corregir una vulnerabilidad de nivel crítico que permitía a un atacante iniciar sesión en cuentas de SSH sin contraseña en servidores de Alpine Linux. El fallo se explotaba enviando una contraseña de longitud entre 257 y 1024 bytes, lo que engañaba al sistema de autenticación y otorgaba acceso inmediato al sistema afectado.
La causa raíz del problema reside en la interacción entre el demonio sshd y la biblioteca C musl, utilizada por Alpine Linux. Cuando sshd verifica una contraseña sin pasar por el módulo PAM, la función crypt() de musl rechaza las contraseñas que superan los 256 bytes y devuelve un asterisco como resultado. Este valor coincide exactamente con el campo de contraseña vacío en las cuentas que no tienen contraseña asignada, lo que lleva a sshd a aceptar la autenticación de forma errónea.
Según el aviso de seguridad de Alpine, los servidores están en riesgo solo si se cumplen cuatro condiciones simultáneas: el paquete openssh-server debe estar compilado sin PAM o con la configuración UsePAM no, la opción PasswordAuthentication debe estar activada, debe existir al menos una cuenta sin contraseña y debe haber otra cuenta con un hash de contraseña que comience con $5$ o $6$. Un atacante con acceso de red y conocimiento del nombre de la cuenta objetivo puede explotar esta falla de manera consistente con una sola conexión.
Los sistemas que utilizan glibc, las plataformas que no son Linux y los sistemas que verifican contraseñas a través de PAM no se ven afectados. Asimismo, los contenedores que no ejecutan sshd y las imágenes de la nube que desactivan la autenticación por contraseña mediante cloud-init están a salvo. Sin embargo, las imágenes tiny-cloud entre las versiones 3.18.11 y 3.24.3 presentan un riesgo adicional, ya que permiten al usuario alpine usar doas sin contraseña, lo que podría facilitar la escalada de privilegios a root si se configura una contraseña de consola posteriormente.
Los investigadores de Wakefield, que reportaron la vulnerabilidad, recomiendan revisar también otros sistemas que emplean musl, como OpenWrt, Buildroot y Yocto. Hasta la fecha no se han reportado ataques en la naturaleza ni se ha asignado un número CVE. Alpine ha distribuido paquetes corregidos para todas las versiones desde la 3.16, incluyendo las ramas que han finalizado su soporte, con releases específicas como 3.21.10, 3.22.8, 3.23.8 y 3.24.4.
Los administradores de sistemas deben actualizar mediante el comando apk upgrade -U -a y reiniciar el servicio sshd con rc-service sshd restart, ya que la actualización del paquete no reinicia automáticamente el proceso en ejecución. Quienes compilan OpenSSH por su cuenta deben actualizar a la versión 10.6p2. Si la actualización no es inmediata, se recomienda desactivar la autenticación por contraseña estableciendo PasswordAuthentication no, tras verificar que el acceso mediante claves SSH funciona correctamente. Además, se debe revisar el archivo /var/log/messages en busca de entradas que indiquen aceptación de contraseñas en cuentas sin contraseña, asumiendo la comprometida del sistema si no se puede descartar un acceso previo.