Se ha detectado recientemente una vulnerabilidad crítica en sistemas operativos Linux, revelando un fallo que permite el acceso no autorizado a cuentas que deberían estar resguardadas contra el ingreso de contraseñas. Esta vulnerabilidad, llamada *sshole y clasificada con el identificador CVE-2026-123158, ocurre en configuraciones específicas de Alpine Linux donde se combina OpenSSH con la biblioteca musl, omitiendo el uso del PAM (Pluggable Authentication Module).
Identificación del problema
El origen de esta vulnerabilidad fue descubierto por el investigador Özgün Kültekin, de Wakefield. El fallo proviene de modificaciones realizadas en 2012 a la biblioteca musl, que cambiaron la forma de manejar errores, y a ajustes posteriores en OpenSSH para mejorar la seguridad. Esta situación permite que, al entrar una contraseña inadecuada, el sistema valide accidentalmente el acceso utilizando información incorrecta de otras cuentas. Específicamente, al ingresar una contraseña de entre 257 y 1,024 bytes, el sistema, al no encontrar datos válidos, responde con un asterisco (*), lo que se interpreta como un acceso permitido debido a que este mismo símbolo aparece en la cuenta supuestamente protegida.
Consecuencias de la vulnerabilidad
El potencial impacto de esta vulnerabilidad es considerable, sobre todo si afecta a una cuenta con permisos elevados. Según advertencias de Alpine Linux, ciertas imágenes oficiales que se utilizan en la nube pueden permitir a los usuarios ejecutar comandos de administración sin necesidad de ingresar una contraseña. Esto convierte a tales cuentas vulnerables en un objetivo atractivo para los atacantes. La compañía de ciberseguridad Previdian ya ha reportado intentos de explotación, observando accesos no autorizados desde una misma dirección IP en sus servidores de prueba.
No todos los usuarios de Alpine Linux se ven automáticamente afectados por el problema; para que un sistema sea vulnerable, debe satisfacer varias condiciones específicas. Estas condiciones incluyen que OpenSSH funcione sin PAM y que exista una cuenta local activa con un hash de contraseña generado a través de SHA-256 o SHA-512. Sistemas que han desactivado la autenticación por contraseña o que utilizan PAM no son susceptibles a este problema.
Recomendaciones y soluciones
La reacción de los desarrolladores fue inmediata. El 5 de noviembre, OpenSSH lanzó la versión 10.6p2 para subsanar esta vulnerabilidad, y Alpine Linux distribuyó parches para varias versiones de su sistema operativo, incluyendo algunas más antiguas. Es vital que los usuarios no solo instalen estas actualizaciones, sino que también reinicien su servicio SSH para asegurar que los cambios se implementen. Aquellos que no puedan actualizar de inmediato deberían considerar deshabilitar la autenticación por contraseña hasta que logren aplicar los parches necesarios.
La conciencia y la acción rápida son esenciales para prevenir accesos no autorizados, en particular en entornos donde la seguridad es prioritaria. La comunidad de usuarios debe mantenerse alerta y aplicar las medidas necesarias para salvaguardar sus sistemas.