Vulnerabilidad crítica en Linux permite acceso sin contraseña

Un fallo de seguridad que permanecía oculto durante diez años

Una vulnerabilidad crítica en sistemas Linux permite acceso remoto sin necesidad de contraseña válida, representando una amenaza significativa para la seguridad de múltiples equipos. El fallo, denominado *sshole e identificado como CVE-2026-123158, ha estado latente durante una década en determinadas configuraciones de distribuciones como Alpine Linux. Este descubrimiento ha generado una respuesta inmediata por parte de los desarrolladores de OpenSSH y la comunidad Linux, quienes han liberado parches de seguridad urgentes.

La investigación llevada a cabo por Özgün Kültekin, investigador de Wakefield, destapó este problema que afecta principalmente a sistemas que combinan OpenSSH con la biblioteca musl y carecen de PAM, un mecanismo fundamental para gestionar la autenticación. El impacto potencial es considerable, especialmente en entornos donde el acceso debe estar bajo control estricto.

Cómo funciona la vulnerabilidad CVE-2026-123158

Para comprender cómo es posible una vulnerabilidad de esta magnitud, es necesario entender el protocolo SSH y su implementación en sistemas Linux. SSH es una herramienta ampliamente utilizada para administrar ordenadores a distancia de forma segura a través de la red, permitiendo la gestión de servidores sin necesidad de acceso físico. OpenSSH es una de las implementaciones más comunes de este protocolo.

El archivo /etc/shadow en sistemas Linux almacena información crítica para verificar las contraseñas de todas las cuentas de usuario. Cuando el campo correspondiente a una cuenta contiene un asterisco (*), se supone que la autenticación convencional mediante contraseña debería bloquearse completamente, aunque sigan siendo viables otros métodos de verificación como las claves criptográficas.

El mecanismo del fallo de autenticación

El problema surge cuando OpenSSH intenta validar una contraseña para una cuenta que, en teoría, no debería aceptarlas. Al no encontrar los datos necesarios en esa cuenta, el sistema utiliza información de otra cuenta para efectuar la verificación. Si la contraseña introducida tiene entre 257 y 1.024 bytes de longitud, la función responsable de procesarla en la biblioteca musl devuelve un asterisco para indicar un error. La paradoja reside en que ese mismo símbolo figura en la cuenta protegida: el servidor interpreta ambos valores como coincidentes y permite el acceso no autorizado.

Este comportamiento inesperado surge de la interacción entre múltiples cambios implementados en diferentes momentos. En 2012, musl modificó la forma de comunicar determinados errores y estableció un límite de longitud al procesar contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH introdujo modificaciones para impedir que un atacante pudiera identificar qué usuarios existían en un sistema analizando los tiempos de respuesta de las solicitudes de autenticación. Finalmente, en 2022, Alpine ajustó la configuración de su cuenta de administrador para permitir el acceso mediante claves SSH.

Alcance y condiciones de vulnerabilidad

No todos los sistemas Linux son susceptibles a este fallo de seguridad. La vulnerabilidad requiere que se cumplan múltiples condiciones simultáneamente para que el sistema quede expuesto. Según explica la firma especializada en ciberseguridad Check Point, el ataque necesita que OpenSSH funcione sin PAM, que acepte contraseñas como método de autenticación, y que exista una cuenta con el asterisco mencionado anteriormente.

Además, debe haber presente otra cuenta local activa en el sistema con un hash de contraseña generado mediante algoritmos SHA-256 o SHA-512. Los sistemas que han desactivado completamente la autenticación por contraseña están fuera de este escenario de riesgo, al igual que aquellos que utilizan PAM para gestionar la autenticación de usuarios.

Sistemas y plataformas afectadas

Alpine Linux es la distribución más directamente afectada, pero la vulnerabilidad podría impactar a otras plataformas que reúnan las mismas condiciones técnicas. Las imágenes oficiales de Alpine utilizadas en entornos de nube son especialmente vulnerables, ya que en muchas configuraciones el usuario alpine puede ejecutar comandos de administrador mediante doas sin introducir una contraseña adicional.

Aunque estas imágenes son seguras en su primer arranque, pueden volverse vulnerables si posteriormente se configura una cuenta con un hash de contraseña compatible con los algoritmos mencionados. En tal escenario, un atacante podría lograr controlar completamente el sistema comprometido, accediendo a datos sensibles e instalando software malicioso.

Evidencia de explotación activa

Los expertos en seguridad han detectado indicios preocupantes de que esta vulnerabilidad ya está siendo explotada de manera activa. La firma Previdian ha documentado al menos ocho intentos de acceso desde una misma dirección IP dirigidos contra sus servidores señuelo, sistemas diseñados específicamente para detectar y analizar ataques. Más alarmante aún es que confirmaron un acceso exitoso con privilegios de administrador en uno de estos servidores de prueba.

Medidas de corrección y recomendaciones de seguridad

OpenSSH liberó el 5 de noviembre la versión 10.6p2 que corrige específicamente esta vulnerabilidad de seguridad. De manera simultánea, Alpine distribuyó actualizaciones para múltiples ramas de su sistema operativo, incluyendo versiones antiguas que aún son ampliamente utilizadas en producción. Los administradores de sistemas deben tener presente que instalar los parches de seguridad no es suficiente por sí solo.

Es imprescindible reiniciar el servicio SSH después de aplicar las actualizaciones para garantizar que el sistema utiliza el código corregido. Aquellos administradores que aún no pueden actualizar sus sistemas de forma inmediata deben implementar medidas temporales de mitigación. La recomendación principal es desactivar completamente la autenticación mediante contraseña en la configuración de OpenSSH y reiniciar también el servicio para que aplique los cambios. Antes de realizar esta acción, es crítico verificar que el acceso mediante claves criptográficas funciona correctamente, evitando así quedar bloqueado del sistema.

Impacto a largo plazo en la seguridad Linux

Este descubrimiento subraya un aspecto fundamental de la seguridad informática: los cambios implementados de forma independiente para resolver problemas específicos pueden interactuar de manera inesperada, creando nuevas vulnerabilidades. La colaboración entre equipos de desarrollo y la realización de auditorías de seguridad exhaustivas son esenciales para prevenir situaciones similares en el futuro.