OpenSSH ha publicado parches de emergencia contra una vulnerabilidad de autenticación de alta gravedad, que permite a atacantes conectarse utilizando contraseñas muy largas. Bautizada como SSHole y registrada con el identificador CVE-2026-123158, con una puntuación CVSS de 8,1 (escala de medición de la gravedad de las vulnerabilidades), afecta al servidor OpenSSH (sshd).
- OpenSSH publica parches de emergencia contra la vulnerabilidad SSHole, con puntuación CVSS de 8,1.
- Atacantes pueden entrar con contraseñas de 257 a 1.024 caracteres en ciertas distribuciones Linux.
- Cuentas como root aceptan contraseñas en Alpine, OpenWrt, Buildroot y Yocto.
- Los usuarios deben actualizar a OpenSSH 10.6p2 o desactivar la autenticación por contraseña.
Una confusión sobre las contraseñas
Según la descripción de la vulnerabilidad, el servidor SSH, que permite conectarse remotamente a una máquina, afecta únicamente a las distribuciones Linux que utilizan la biblioteca musl libc y cuyo módulo PAM (Pluggable Authentication Module, un componente encargado de gestionar la autenticación) está desactivado. El defecto se debe a una « mala interpretación » de la cuestión de si una cadena de caracteres está destinada a ser un hash de contraseña, es decir, una versión codificada de la contraseña. En este caso, los atacantes pueden acceder a ciertas cuentas con cualquier contraseña que tenga entre 257 y 1.024 caracteres.
El problema afecta especialmente a cuentas que nunca deberían aceptar contraseña, como la cuenta root, que administra completamente un sistema. Sin embargo, en distribuciones como Alpine, OpenWrt, Buildroot o Yocto, menciona el investigador de seguridad Özgün Kültekin, estas cuentas aceptan una contraseña.
El desarrollador de OpenSSH Damien Miller precisa que la vulnerabilidad no se encuentra en sshd en sí, pero que puede ser explotada a través de sshd. Los parches están incluidos en la versión OpenSSH 10.6p2.
Una publicación acelerada
Damien Miller justifica la rapidez de la publicación: « Publicamos esta versión tan rápido como posible (descubrimos el problema ayer) porque recientemente hemos observado varios casos de redescubrimiento rápido de errores por agentes de IA, a veces en cuestión de horas. Por lo tanto, consideramos que los largos períodos de embargo son una práctica peligrosa, que beneficia principalmente a los atacantes. »
Por su parte, Alpine Linux ha pedido a sus usuarios que apliquen inmediatamente los parches de OpenSSH y reinicien sshd, o desactiven las conexiones por contraseña y luego reinicien el servicio. La distribución precisa que un atacante debe conocer el nombre de una cuenta cuyo campo de contraseña sea « * », lo cual es normal para las cuentas accesibles solo por clave, y que la máquina debe disponer de al menos otra cuenta con un hash de contraseña que comience por $5$ o $6$.
Alpine Linux indica que todas las versiones controladas están afectadas, desde la 3.21 hasta la 3.24 así como la rama edge, al igual que las versiones más antiguas que ya no reciben actualizaciones regulares, desde la 3.16 hasta la 3.20. También subraya: « Un atacante que pueda alcanzar su puerto SSH puede conectarse sin conocer ninguna contraseña. Basta con una conexión, funciona cada vez y no se necesita ningún nuevo intento. »
Un riesgo de explotación a vigilar
Alpine Linux indica no haber recibido aún ningún reporte de explotación. El cofundador de Detectify e investigador principal de seguridad Fredrik Almroth estima sin embargo que, al ser públicos los detalles y simple el ataque, un escaneo podría comenzar en las horas siguientes. Recuerda que Shodan registra aproximadamente 22 millones de sistemas con el puerto SSH 22 abierto, una cifra que considera inferior a la realidad, y que cada intento solo requiere una única conexión.
Jake Knott, responsable de inteligencia de amenazas en WatchTowr, juzga por su parte « extremadamente sorprendente » no ver intentos de ataque por fuerza bruta de aquí al fin de semana. Recomienda, si es posible, actualizar a la última versión y, mientras tanto, desactivar la autenticación por contraseña.
