Atacantes han comenzado a explotar la vulnerabilidad de bypass de autenticación SSHole que afecta a ciertos servidores OpenSSH. Este fallo permite que atacantes remotos accedan a algunas cuentas de Linux que tienen las contraseñas deshabilitadas mediante el envío de una contraseña inusualmente larga, sin necesidad de poseer credenciales válidas o una clave SSH.

Los atacantes han empezado a aprovechar la omisión de autenticación SSHole que afecta a ciertos servidores OpenSSH, según los nuevos hallazgos del SANS Internet Storm Center.

El fallo permite que atacantes remotos accedan a algunas cuentas de Linux con la contraseña desactivada mediante el envío de una contraseña inusualmente larga, sin conocer credenciales válidas ni poseer una clave SSH.

El investigador de SANS, Johannes Ullrich, informó sobre los primeros intentos claros de explotación el 5 de noviembre, utilizando contraseñas compuestas enteramente por caracteres "A" repetidos.

Sus honeypots SSH Cowrie registraron 232 solicitudes de contraseñas largas ese día, seguidas de 713 el 6 de noviembre. Estas cifras miden solicitudes sospechosas, no compromisos confirmados ni atacantes independientes.

La actividad de contraseñas largas apareció por primera vez el 1 de noviembre, pero Ullrich señaló que esas entradas iniciales parecían scripts de fuerza bruta defectuosos en lugar de una explotación deliberada de SSHole. Algunos scripts insertaron comandos de descarga en los campos de contraseña. Cowrie solo registra los primeros 255 caracteres de la contraseña, lo que limita la capacidad de los investigadores para examinar completamente los intentos que involucran entradas más largas.

Las direcciones de los escáneres principales incluyeron 213.86.169.133, 152.233.50.185 y 92.255.57.7, con 48, 44 y 43 intentos registrados respectivamente. Ullrich sospechaba que algunos inicios de sesión en el honeypot tuvieron éxito, pero su informe no confirmó sesiones exitosas. Por lo tanto, la evidencia respalda intentos de explotación activos, aunque deja el resultado final sin resolver.

Vulnerabilidad OpenSSH SSHole Explotada

Revelada por el investigador Özgün Kültekin, SSHole afecta a OpenSSH ejecutándose con musl libc cuando las comprobaciones de contraseña ocurren sin PAM, el marco de inicio de sesión de Linux.

Como se cubrió en el informe anterior de OpenSSH de Cybersecurity News, la explotación también requiere que la autenticación por contraseña esté habilitada, una cuenta objetivo cuyo campo de contraseña almacenada sea *, y otra cuenta local que contenga un hash de contraseña SHA-crypt válido.

La divulgación técnica del investigador explica el fallo. Cuando una contraseña supera los 256 bytes, la función crypt() de musl puede devolver * para señalar un error. OpenSSH puede comparar ese valor con el * almacenado de la cuenta objetivo y aceptar el inicio de sesión. El rango de ataque documentado es de 257 a 1,024 bytes. Las cuentas con hashes de contraseña válidos no se omiten de esta manera.

OpenSSH 10.6p2 soluciona el problema, y Alpine ha lanzado paquetes parcheados. Debes instalar las actualizaciones de tu distribución y reiniciar sshd.

En los casos donde el parcheado deba esperar, configurar PasswordAuthentication no bloquea esta ruta de ataque. Las pruebas de StepSecurity también confirmaron la protección cuando las comprobaciones de contraseña utilizan PAM. Revisa las revisiones de los paquetes porque los parches retroactivos pueden conservar banners de versiones más antiguas de OpenSSH.

Revisa los inicios de sesión exitosos con contraseña en cuentas que solo admiten claves, especialmente los fallos seguidos de una aceptación dentro de una misma sesión. Investigaciones anteriores sobre honeypots SSH muestran por qué es importante la monitorización posterior al inicio de sesión.

La evidencia citada no establece que exista una opción de SSH que filtre contraseñas o claves API a GitHub. Esa afirmación es independiente de esta omisión de autenticación y no debería aparecer en el titular.