Vulnerabilidad crítica en Linux permite acceso sin contraseña

Una vulnerabilidad crítica expone sistemas Linux a accesos no autorizados

Una vulnerabilidad crítica en sistemas Linux permite el acceso sin contraseña a través de configuraciones específicas de seguridad que paradójicamente facilitaban la protección. Esta vulnerabilidad Linux sin contraseña, catalogada como CVE-2026-123158 y bautizada como *sshole, representa un riesgo significativo para infraestructuras que ejecutan determinadas versiones de Alpine Linux combinadas con OpenSSH y la biblioteca musl.

El investigador de seguridad Özgün Kültekin, radicado en Wakefield, identificó este fallo que permanecía oculto durante aproximadamente una década. Las distribuciones afectadas combinan OpenSSH con musl sin implementar PAM, el mecanismo estándar de gestión de autenticación en Linux. El descubrimiento fue reportado el 5 de noviembre, fecha en que tanto OpenSSH como Alpine publicaron parches de seguridad para corregir el problema.

¿Cómo funciona la vulnerabilidad Linux sin contraseña?

Para comprender este fallo de seguridad, es fundamental conocer SSH, un protocolo ampliamente utilizado para administrar equipos remotamente. SSH permite conectarse de forma segura a un servidor a través de la red, facilitando la gestión sin acceso físico directo. OpenSSH es una implementación popular que soporta autenticación mediante contraseñas o claves criptográficas que verifican la identidad del usuario.

En sistemas Linux, el archivo /etc/shadow almacena la información criptográfica utilizada para verificar contraseñas. Cuando un campo contiene un asterisco (*), la autenticación ordinaria por contraseña debería bloquearse, permitiendo solo otros métodos como claves SSH. Sin embargo, el mecanismo de validación de OpenSSH en ciertos entornos genera una condición de seguridad inesperada.

El mecanismo de fallo que permite el acceso

Según la investigación detallada de Kültekin, cuando OpenSSH verifica una contraseña para una cuenta que debería rechazarla, y no encuentra los datos de validación correspondientes, utiliza información de otra cuenta del sistema para efectuar la verificación. Aquí radica el problema central: si la contraseña introducida tiene entre 257 y 1.024 bytes de longitud, la función de procesamiento en la biblioteca musl devuelve un asterisco para señalar un error.

Coincidentemente, ese mismo asterisco aparece en el campo de la cuenta protegida. El servidor SSH interpreta ambos valores como coincidentes, permitiendo acceso a una cuenta que teóricamente no debería aceptar autenticación por contraseña. Este fallo demuestra cómo medidas de seguridad diseñadas para restringir accesos pueden interactuar de formas inesperadas, creando vulnerabilidades.

Cronología del problema: una década de interacciones no previstas

La historia de esta vulnerabilidad se remonta a cambios sucesivos realizados por diferentes componentes del sistema. En 2012, la biblioteca musl modificó su forma de comunicar errores y estableció límites de procesamiento de contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH implementó mejoras para impedir que atacantes identificaran usuarios mediante análisis de tiempos de respuesta del servidor.

En 2022, Alpine ajustó la configuración de su cuenta de administrador para permitir acceso mediante claves SSH sin requerir contraseña. Cada cambio respondía a problemas legítimos de seguridad, pero su combinación en determinadas configuraciones generó una situación inesperada que ninguno de los desarrolladores había anticipado.

Condiciones necesarias para que el sistema sea vulnerable

No todos los sistemas Linux presentan riesgo. La vulnerabilidad requiere que se cumplan simultáneamente varias condiciones específicas. Primero, OpenSSH debe ejecutarse sin PAM, el módulo estándar de autenticación. Segundo, el servicio debe permitir autenticación mediante contraseña. Tercero, debe existir una cuenta con el asterisco de bloqueo en /etc/shadow. Cuarto, debe haber otra cuenta local activa con hash de contraseña generado mediante algoritmos SHA-256 o SHA-512.

Según explica la firma de ciberseguridad Check Point, los sistemas que desactivan completamente la autenticación por contraseña no son vulnerables, así como aquellos que utilizan PAM para gestionar la autenticación. Esto significa que muchas distribuciones Linux convencionales no están expuestas a este fallo, aunque Alpine Linux en sus configuraciones específicas sí lo está.

Riesgos críticos en entornos en la nube

Las consecuencias pueden ser especialmente graves cuando la cuenta comprometida posee permisos elevados. Alpine destaca el caso de imágenes oficiales utilizadas en entornos de nube pública, donde la cuenta alpine puede ejecutar comandos administrativos mediante doas sin introducir contraseña. Si posteriormente se configura una cuenta con hash de contraseña compatible, la imagen se vuelve vulnerable.

En tal escenario, un atacante podría obtener control total del sistema. Las indicaciones de explotación activa ya existen: la firma de seguridad Previdian reportó haber detectado ocho intentos de ataque desde una misma dirección IP, confirmando al menos un acceso exitoso con privilegios de administrador en sus servidores de detección.

Soluciones y recomendaciones de seguridad

OpenSSH publicó la versión 10.6p2 el 5 de noviembre para corregir esta vulnerabilidad Linux sin contraseña. Alpine distribuyó actualizaciones para múltiples versiones de su sistema operativo, incluyendo ramas antiguas aún en uso. Sin embargo, instalar los parches no es suficiente por sí solo.

Los administradores deben reiniciar el servicio SSH después de actualizar para asegurar que el código corregido esté en ejecución. Si no es posible actualizar inmediatamente, Alpine recomienda desactivar la autenticación mediante contraseña y reiniciar el servicio, verificando previamente que el acceso mediante claves SSH funciona correctamente. Esta medida temporal proporciona protección mientras se implementa la solución definitiva.