Por Canuto  

Una combinación de errores en OpenSSH y musl puede permitir que una cadena de más de 256 caracteres eluda la autenticación por contraseña en ciertas configuraciones. Alpine Linux concentra la mayor preocupación por su uso extendido; OpenSSH publicó una medida de seguridad y recomienda revisar los sistemas afectados.
***

  • SSHhole depende de una combinación específica de OpenSSH, musl y ajustes de autenticación; no afecta automáticamente a toda instalación.
  • Alpine Linux preocupa especialmente por su uso en contenedores, servidores, máquinas virtuales y dispositivos integrados.
  • La medida provisional indicada es desactivar PasswordAuthentication en OpenSSH y reiniciar el servicio; los administradores también deben revisar las actualizaciones disponibles.

Falla conjunta en OpenSSH y musl puede abrir acceso a sistemas Linux

Una combinación de errores en OpenSSH y la biblioteca musl puede permitir que un atacante supere la autenticación por contraseña al introducir una cadena de más de 256 caracteres. El problema, identificado como SSHhole, preocupa sobre todo en Alpine Linux, donde, según el reporte de Tom’s Hardware, la configuración predeterminada puede reunir las condiciones necesarias para activar el fallo.

La vulnerabilidad no significa que cualquier instalación de Linux quede abierta de forma automática: depende de la combinación de componentes y ajustes del sistema. Las notas de publicación de OpenSSH describen una medida de seguridad para sistemas Linux que usan musl y tienen PAM deshabilitado. La mitigación provisional indicada en el reporte consiste en deshabilitar la autenticación por contraseña de OpenSSH.

Una cadena larga dispara el fallo de autenticación

El comportamiento reportado permite que alguien introduzca más de 256 caracteres en el aviso de contraseña y supere el control de acceso bajo ciertas condiciones. Según la información divulgada, el problema afecta a determinadas cuentas, incluidas cuentas bloqueadas, y no supone que exista una contraseña universal para cualquier equipo.

Entre los elementos que deben coincidir figuran OpenSSH y musl, la autenticación por contraseña habilitada y la ausencia de PAM, el sistema habitual de módulos de autenticación. La explotación también depende de la configuración de la cuenta y de que el servicio SSH sea accesible para quien intenta conectarse.

La explicación se relaciona con la forma en que ambos componentes manejan una condición de error. Según la información divulgada, la función crypt() de musl puede devolver un asterisco ante un error; OpenSSH puede tratar ese resultado como un hash comparable con la contraseña ingresada.

En los archivos /etc/passwd o /etc/shadow, un asterisco puede indicar que una cuenta no debe aceptar una contraseña. El fallo aparece cuando esa señal se interpreta de manera inadecuada durante la verificación y una entrada excesivamente larga activa la cadena de errores. El reporte técnico de SSHhole reúne detalles adicionales sobre el comportamiento.

Alpine concentra la mayor preocupación

El riesgo señalado no se limita a un único sistema operativo, pero Alpine Linux ocupa el centro de la alerta porque, según el reporte, puede reunir las condiciones requeridas y tener habilitada la autenticación por contraseña de forma predeterminada. La distribución es común en contenedores de Docker y Kubernetes, así como en entornos de Proxmox, servidores, máquinas virtuales en la nube y dispositivos integrados.

Tom’s Hardware advierte que esa presencia extendida podría alcanzar millones de instalaciones y generar dependencias en distintas infraestructuras. Esa cifra expresa la escala potencial de despliegue descrita por el medio, no un conteo confirmado de equipos vulnerables: para que el fallo sea explotable deben coincidir los requisitos técnicos y de configuración.

La exposición tampoco exige necesariamente que el equipo esté publicado directamente en internet. El reporte señala que un atacante dentro de una red corporativa, un laboratorio doméstico, una red en la nube o una VPN podría intentar aprovechar el problema, siempre que pueda conectarse por SSH y se cumplan las condiciones de explotación.

Por eso, una instalación inaccesible desde internet aún puede merecer atención si comparte red con otros sistemas o usuarios. El reporte describe el escaneo y las pruebas como sencillos, pero la posibilidad de entrar depende de que el servicio esté al alcance del atacante y de que la configuración reúna los requisitos vulnerables.

Qué sistemas deben revisar los administradores

OpenWRT utiliza Dropbear para la autenticación de forma predeterminada, por lo que no presenta la misma configuración base indicada para Alpine. Sin embargo, sus usuarios pueden instalar OpenSSH, y el reporte menciona también Buildroot, Yocto y Void Linux como sistemas donde el error está presente, aunque no necesariamente habilitado.

La medida provisional más sencilla consiste en establecer explícitamente PasswordAuthentication no en el archivo de configuración de OpenSSH y reiniciar el servicio. Esa opción elimina la autenticación por contraseña en SSH, por lo que los administradores deben comprobar que sus métodos alternativos de acceso funcionen antes de aplicarla en equipos críticos.

La recomendación es instalar las actualizaciones disponibles y consultar los avisos de cada proyecto para verificar qué medida corresponde a cada sistema. Las notas de publicación de OpenSSH describen una medida de seguridad para Linux con musl y PAM deshabilitado. Conviene revisar los canales oficiales de la distribución antes de asumir que un equipo ya quedó protegido.

La información publicada apunta a una interacción entre OpenSSH y musl. Mientras se revisan las actualizaciones y la configuración de cada sistema, deshabilitar la autenticación por contraseña puede reducir el riesgo en los equipos afectados, siempre que exista y se haya probado un método alternativo de acceso.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados