El proyecto OpenSSH lanzó las versiones 10.3 y 10.3p1 el 2 de abril de 2026, solucionando una vulnerabilidad de inyección de shell e introduciendo varias mejoras de seguridad que los administradores deberían revisar antes de actualizar. La corrección de seguridad más destacada aborda una vulnerabilidad de inyección de shell en la opción de línea de comandos -J (ProxyJump).

El proyecto OpenSSH lanzó la versión 10.3 y 10.3p1 el 2 de abril de 2026, solucionando una vulnerabilidad de inyección de shell e introduciendo varios cambios de refuerzo de seguridad que los administradores deberían revisar antes de actualizar.

La corrección de seguridad más destacada aborda una vulnerabilidad de inyección de shell en la opción de línea de comandos -J (ProxyJump). Antes de esta versión, los nombres de usuario y host pasados mediante -J o -oProxyJump="..." en la línea de comandos no se validaban, lo que creaba una oportunidad para la inyección de shell si esos valores provenían directamente de entradas adversarias.

El fallo fue reportado por un investigador identificado como “rabbit”. Los desarrolladores de OpenSSH señalan que exponer estas opciones a entradas no confiables “habría sido una pésima idea desde el principio”, pero la corrección garantiza que ahora los valores maliciosos o malformados sean rechazados en la etapa de validación. Es importante destacar que esta validación solo se aplica al uso en la línea de comandos; las entradas en archivos de configuración siguen sin validarse.

También se ha corregido un comportamiento sutil pero potencialmente riesgoso en el manejo de certificados de sshd. Anteriormente, los certificados SSH emitidos con una sección de principals vacía se trataban como un comodín, lo que permitía efectivamente la autenticación como cualquier usuario que confiara en la Autoridad Certificadora (CA) emisora a través de authorized_keys.

Este comportamiento era intencional por diseño, pero creaba un caso límite peligroso: si una CA emitía accidentalmente un certificado sin principals definidos, podía ser explotado para obtener acceso no autorizado de amplio alcance.

Lanzamiento de OpenSSH 10.3

OpenSSH 10.3 cambia este comportamiento para que una sección de principals vacía nunca coincida con ningún principal, eliminando así el riesgo de comodín accidental.

Además, los caracteres comodín en los principals de certificados ahora se aplican de manera consistente y son compatibles con certificados de host, pero no se admiten explícitamente para certificados de usuario, lo que aporta controles de acceso más claros y predecibles.

OpenSSH también ha eliminado la compatibilidad hacia atrás con implementaciones SSH que no soportan el reintercambio de claves en la capa de transporte. Cualquier cliente o servidor SSH heredado que no pueda manejar el reintercambio de claves ahora fallará eventualmente al interactuar con OpenSSH una vez que el transporte requiera un reintercambio.

Este cambio refuerza el cumplimiento del protocolo y elimina una solución alternativa antigua que podía debilitar las garantías de seguridad en sesiones de larga duración.

Los equipos de seguridad que gestionan infraestructura SSH deberían priorizar esta actualización, especialmente en entornos donde las opciones de ProxyJump se construyen programáticamente o provienen de entradas de usuario.

El cambio en el comportamiento de los principals de certificados también puede requerir una revisión de los certificados existentes emitidos por CA para asegurarse de que ninguno tenga campos de principals vacíos.

OpenSSH 10.3 está disponible para descarga a través de los mirrors oficiales listados en openssh.com. El proyecto sigue siendo un pilar fundamental en la infraestructura de acceso remoto seguro, y este lanzamiento refleja los esfuerzos continuos para cerrar brechas de seguridad sutiles pero impactantes.

Fuentes:
https://cybersecuritynews.com/openssh-10-3-release/