Un fallo de Linux en Alpine permite entrar sin contraseña válida: el "*sshole" llevaba una década oculto

Hay cuentas de Linux que se bloquean a propósito para que no acepten contraseñas y solo permitan otros métodos de autenticación. Es una práctica razonable donde el acceso debe estar muy controlado. Una vulnerabilidad recién descubierta demuestra que esa protección puede fallar justo al revés: una cuenta cerrada a las contraseñas acaba abriéndose ante una que no es válida.

El fallo se llama *sshole y tiene el identificador CVE-2026-123158. Permite entrar a distancia en determinadas cuentas de sistemas Linux sin conocer una contraseña válida. Se ha confirmado en configuraciones de Alpine Linux que combinan OpenSSH con musl, una biblioteca básica del sistema, y que prescinden de PAM, el mecanismo que gestiona la autenticación. Otras plataformas podrían verse afectadas si reúnen las mismas condiciones. Lo descubrió el investigador Özgün Kültekin, de Wakefield, y el 5 de noviembre tanto OpenSSH como Alpine publicaron correcciones.

Para entender el mecanismo hay que partir de SSH, el protocolo con el que se administra un equipo a distancia, por ejemplo un servidor al que nadie tiene acceso físico. OpenSSH es una de sus implementaciones y admite contraseñas o claves criptográficas. En Linux, el archivo /etc/shadow guarda los datos para verificar las contraseñas. Si el campo de una cuenta contiene un asterisco, la autenticación ordinaria por contraseña debería quedar bloqueada, aunque otros métodos sigan funcionando.

Según explica Kültekin, el problema aparece cuando OpenSSH comprueba una contraseña para una cuenta que no debería aceptarlas. Como no encuentra en ella los datos necesarios, usa la información de otra cuenta para hacer la verificación. Si la contraseña introducida tiene entre 257 y 1.024 bytes, la función de musl que la procesa devuelve un asterisco para señalar un error. Ese mismo símbolo figura en la cuenta protegida, así que el servidor interpreta ambos valores como coincidentes y deja pasar al atacante.

El origen está lejos en el tiempo. Según la reconstrucción del investigador, en 2012 musl cambió la forma de comunicar ciertos errores y fijó un límite de longitud al procesar contraseñas para evitar ataques de denegación de servicio. Cuatro años después, OpenSSH introdujo cambios para que nadie pudiera averiguar qué usuarios existen en un sistema midiendo tiempos de respuesta. En 2022, Alpine ajustó la configuración de su cuenta de administrador para permitir el acceso con claves SSH. Eran soluciones a problemas distintos que acabaron interactuando de forma imprevista.

Usar Alpine Linux no implica ser vulnerable. Según la firma Check Point, deben cumplirse varias condiciones a la vez: que OpenSSH funcione sin PAM, admita contraseñas y encuentre una cuenta con el asterisco. Además, tiene que existir otra cuenta local activa con un hash de contraseña generado con SHA-256 o SHA-512. Quedan fuera los sistemas que desactivan la autenticación por contraseña y los que usan PAM para gestionarla.

La gravedad sube cuando la cuenta afectada tiene permisos elevados. Alpine cita como ejemplo ciertas imágenes oficiales para la nube, donde el usuario alpine puede ejecutar comandos de administrador con doas sin contraseña. Esas imágenes son seguras en el primer arranque, pero pueden volverse vulnerables si luego se configura una cuenta con un hash compatible. Entonces un atacante podría controlar el sistema. Ya hay indicios de explotación: la firma Previdian asegura haber detectado ocho intentos desde una misma dirección IP y confirmado un acceso con privilegios de administrador en uno de sus servidores señuelo.

OpenSSH publicó el 5 de noviembre la versión 10.6p2, y Alpine distribuyó actualizaciones para varias ramas, incluidas algunas antiguas. Sus responsables advierten de que no basta con instalar el parche: hay que reiniciar el servicio SSH para que use el código corregido. Quien no pueda actualizar todavía debería desactivar la autenticación por contraseña y reiniciar el servicio, tras comprobar que el acceso con claves funciona.