Se ha detectado una falla crítica en OpenSSH que podría permitir a atacantes remotos omitir la autenticación por contraseña en servidores de Alpine Linux, afectando incluso a cuentas configuradas solo para acceso mediante claves. Este problema impacta a los sistemas Linux que utilizan musl libc sin autenticación PAM. Para solucionar esta vulnerabilidad, OpenSSH lanzó la versión Portable 10.6p2 el 5 de noviembre de 2026.

Un fallo crítico de OpenSSH podría permitir que atacantes remotos eviten la autenticación por contraseña en servidores afectados de Alpine Linux, incluyendo cuentas destinadas únicamente al acceso mediante claves. OpenSSH lanzó Portable 10.6p2 el 5 de noviembre de 2026 para bloquear el problema, que afecta a los sistemas Linux que utilizan musl libc sin autenticación PAM.

La investigación publicada en sshhole.com por Özgün Kültekin de Wakefield explica cómo una contraseña inusualmente larga puede convertir una comprobación de contraseña fallida en un inicio de sesión exitoso. Alpine confirma que la explotación requiere una conexión, un puerto SSH accesible y un nombre de cuenta conocido cuando existen las condiciones requeridas.

La cuenta objetivo debe tener un * en su campo de contraseña, mientras que otra cuenta local debe contener un hash de contraseña $5$ o $6$. La autenticación por contraseña también debe permanecer habilitada. Esto significa que añadir una contraseña a una cuenta puede exponer otras cuentas que fueron creadas sin contraseñas.

El paquete estándar openssh-server de Alpine no utiliza PAM, lo que hace que la configuración sea importante. Los sistemas que utilizan openssh-server-pam con UsePAM yes no se ven afectados. Los contenedores sin un servidor SSH en ejecución tampoco se ven afectados, por lo que usar solo una imagen de contenedor de Alpine no establece una exposición.

La divulgación sigue a correcciones de seguridad anteriores de OpenSSH 10.6, pero este problema se refiere a las comprobaciones de contraseña en lugar del cifrado. No se había asignado ningún identificador CVE cuando Alpine publicó su aviso.

Fallo de OpenSSH para evadir la autenticación por contraseña

El análisis técnico del investigador rastrea el fallo hasta una interacción entre OpenSSH y la función crypt() de musl. Sin PAM, sshd genera el hash de la contraseña enviada y compara el resultado con el campo de contraseña almacenado. Para una cuenta cuyo campo contiene solo *, sshd toma prestada la sal de otra cuenta.

Cuando la contraseña enviada supera los 256 bytes, el código de hash de contraseñas de musl la rechaza y devuelve * como marcador de error. Ese marcador coincide con el campo almacenado de la cuenta objetivo. En lugar de rechazar el inicio de sesión, la comparación tiene éxito. Alpine identifica las contraseñas de entre 257 y 1024 bytes como el detonante.

El investigador vincula la cadena a un cambio de OpenSSH de 2016 diseñado para reducir el descubrimiento de nombres de usuario mediante diferencias de tiempo. Las pruebas en diversos ajustes de biblioteca y autenticación expusieron el desajuste de musl sin PAM. Esto es distinto de vulnerabilidades anteriores del cliente y servidor de OpenSSH que involucraban interceptación e interrupción del servicio.

Las imágenes oficiales de tiny-cloud de Alpine desde la 3.18.11 hasta la 3.24.3 contienen una cuenta alpine con acceso doas sin contraseña. Estas se vuelven explotables cuando se añade un hash de contraseña válido. Un atacante podría entonces iniciar sesión como alpine y convertirse en root. Las restricciones predeterminadas siguen bloqueando el inicio de sesión directo con contraseña de root a menos que tú, como administrador, las cambies.

Sigue la guía de remediación de Alpine ejecutando apk upgrade -U -a y luego rc-service sshd restart. Actualizar por sí solo deja el antiguo demonio ejecutándose. Las versiones corregidas incluyen la 3.21.10, 3.22.8, 3.23.8 y 3.24.4, con paquetes parcheados disponibles para ramas más antiguas.

Las ramas más antiguas también recibieron paquetes parcheados, por lo que un número de versión de OpenSSH más bajo no significa automáticamente que tu sistema siga siendo vulnerable.

Si tienes que esperar para parchear, establece PasswordAuthentication no, confirma que el acceso basado en claves funciona y reinicia sshd manteniendo una sesión abierta. Revisa /var/log/messages en busca de entradas de Accepted password for que involucren cuentas sin contraseña, luego inspecciona cualquier actividad inesperada de doas y nuevas claves autorizadas.

Las notas de lanzamiento de OpenSSH confirman la solución temporal. Alpine aconseja tratar las máquinas como comprometidas cuando no se puede descartar el acceso no autorizado.

Fuentes:
https://cybersecuritynews.com/openssh-flaw-bypass-password-authentication/