OpenSSH publica un parche de emergencia: acceso a servidores Linux sin necesidad de contraseña
El equipo de OpenSSH ha lanzado una actualización urgente para corregir un fallo de seguridad grave. La vulnerabilidad permite que un atacante acceda a servidores Linux sin conocer ninguna contraseña.
¿En qué consiste el problema? La versión OpenSSH 10.6p2 soluciona un bypass crítico mediante el cual enviar cualquier clave de más de 256 caracteres permite entrar en cuentas que no tienen contraseña establecida o que están bloqueadas.
¿Qué sistemas corren peligro? Los servidores con Alpine Linux, o cualquier distribución basada en musl libc, que tengan el servicio sshd activo con autenticación por contraseña habilitada y sin soporte PAM.
¿Qué sistemas están a salvo? Distribuciones como Ubuntu, Debian o Red Hat, y en general cualquier distro que use glibc. También están protegidos los servidores que tengan PAM activado o los contenedores que no ejecuten el servicio SSH.
¿Cómo solucionar esto ahora mismo? Hay dos opciones: establecer el parámetro PasswordAuthentication en no dentro del fichero /etc/ssh/sshd_config y reiniciar el servicio, o bien actualizar directamente a OpenSSH 10.6p2 sin más demora.
CVE crítico en OpenSSH: bypass de autenticación por contraseña afecta servidores Alpine Linux con musl libc
Resumen técnico
La versión OpenSSH 10.6p2 corrige un bypass de autenticación crítico que permite acceso no autorizado a cuentas sin contraseña o bloqueadas. El vector de ataque consiste en enviar una clave de más de 256 caracteres, lo que provoca que el proceso de validación falle de forma insegura. El fallo afecta exclusivamente a sistemas con musl libc, principalmente Alpine Linux, cuando tienen PasswordAuthentication activo y PAM deshabilitado. Sistemas con glibc como Ubuntu, Debian y Red Hat no están afectados. El parche fue publicado como emergencia dado el impacto directo en entornos de producción expuestos.
Análisis de implicaciones
El fallo expone una superficie de ataque significativa en infraestructuras basadas en Alpine Linux, muy utilizadas en entornos de contenedores y sistemas embebidos por su tamaño reducido. La ausencia de PAM como capa de seguridad adicional elimina el único mecanismo que hubiera mitigado el bypass. Técnicamente, el comportamiento de musl libc al gestionar buffers de cadenas largas difiere del de glibc, lo que introduce una inconsistencia que el atacante puede explotar de forma deliberada sin credenciales válidas.
Aplicación práctica
La mitigación inmediata sin actualizar requiere editar /etc/ssh/sshd_config, establecer PasswordAuthentication no y reiniciar el servicio con service sshd restart o systemctl restart sshd. La solución definitiva es actualizar a OpenSSH 10.6p2 mediante el gestor de paquetes correspondiente. En entornos Alpine: apk upgrade openssh. En pipelines de CI/CD que usen imágenes Alpine como base, es prioritario regenerar las imágenes con la versión parcheada y auditar si el servicio sshd está corriendo dentro del contenedor.
Contexto del sector
Este fallo sigue la estela de CVE-2024-6387 (regreSSHion), que también afectó a OpenSSH con ejecución remota de código. La tendencia de vulnerabilidades en componentes de autenticación SSH refuerza la necesidad de adoptar autenticación basada en claves públicas y deshabilitar PasswordAuthentication como estándar por defecto. El impacto en Alpine Linux es especialmente relevante dado su uso masivo como imagen base en Docker y entornos Kubernetes.
