LA EDICIÓN DEL 6 DE NOVIEMBRE DE 2026
Un fallo de autenticación SSH afecta a determinadas configuraciones de Linux
Ars Technica describe una vulnerabilidad que permite una conexión sin contraseña en determinadas configuraciones que combinan OpenSSH y musl, especialmente en Alpine Linux. Hay parches disponibles, pero el alcance de los sistemas afectados sigue siendo parcialmente incierto y depende de varias condiciones precisas.
Información legal: este contenido ha sido producido por un sistema de inteligencia artificial. Transparencia editorial
Una vulnerabilidad en determinadas configuraciones que combinan OpenSSH y musl puede permitir una conexión sin contraseña. Los parches de Alpine y OpenSSH hacen que la revisión de las instalaciones sea prioritaria. Sin embargo, el riesgo depende de varios parámetros de autenticación: la presencia de un servicio SSH no basta para concluir que existe exposición.
Determinadas configuraciones de Linux permiten a un atacante iniciar una sesión SSH sin conocer ninguna contraseña, informa Ars Technica. La vulnerabilidad, bautizada como *sshole por la persona que la descubrió, afecta en particular a Alpine Linux cuando se cumplen varias condiciones técnicas. Alpine y OpenSSH han publicado actualizaciones. La existencia de estos parches ofrece una respuesta inmediata a los administradores afectados, aunque todavía queda por determinar el alcance exacto del problema.
El problema aparece en la interacción entre OpenSSH y musl, una biblioteca que Alpine utiliza como alternativa a libc. Para estar expuesta en el escenario descrito, la instalación de OpenSSH que utiliza musl debe funcionar sin PAM, el mecanismo encargado de los controles de autenticación y de acceso a las cuentas. Por tanto, la mera presencia de Alpine o de un servicio SSH accesible no basta para determinar que una máquina es vulnerable.
Otros requisitos afectan a las cuentas locales. En particular, el sistema debe contener una cuenta accesible cuya contraseña tenga un hash generado con SHA256 o SHA512. La cuenta atacada, por su parte, debe presentar un asterisco en el campo de contraseña del archivo /etc/shadow, una configuración que el artículo describe como habitual en determinadas cuentas que utilizan autenticación mediante certificados. Checkpoint precisa que la cuenta que proporciona el hash debe estar activa.
Cuando se cumplen estas condiciones, las consecuencias pueden ser importantes. Según los responsables del mantenimiento de Alpine citados por Ars Technica, un atacante capaz de acceder al puerto SSH puede conectarse sin conocer la contraseña. Checkpoint indica que la configuración predeterminada PermitRootLogin prohibit password protege las conexiones directas a la cuenta root en este escenario. Sin embargo, una cuenta accesible con permisos sudo o doas puede permitir obtener posteriormente esos privilegios.
El alcance más allá de Alpine sigue siendo incierto. Otras distribuciones podrían verse afectadas si utilizan la misma configuración. La persona que descubrió la vulnerabilidad también cita OpenWRT, buildroot y yocto, pero el artículo subraya que algunas de estas atribuciones están pendientes de confirmación. OpenWRT utiliza por defecto Dropbear en lugar de OpenSSH, una distinción determinante para evaluar su exposición.
La responsabilidad técnica también es objeto de debate entre OpenSSH y musl. Este desacuerdo no cambia la prioridad práctica: identificar las máquinas que combinan musl y OpenSSH, comprobar las condiciones de exposición y aplicar los parches a los sistemas afectados. El análisis debe centrarse en la configuración real de cada instalación; la información disponible no permite cuantificar el número de máquinas efectivamente vulnerables.