Vulnerabilidad crítica en Linux permite acceso sin contraseña

Una brecha de seguridad oculta durante una década

La seguridad informática se basa en decisiones que a menudo parecen inquebrantables, pero la vulnerabilidad Linux sin contraseña recientemente identificada demuestra que incluso las medidas más rigurosas pueden tener consecuencias imprevistas. Se ha descubierto que ciertos sistemas operativos basados en esta arquitectura permiten acceso remoto sin necesidad de credenciales válidas, un fallo que ha permanecido latente durante aproximadamente diez años sin ser detectado. Este descubrimiento representa uno de los problemas de seguridad más graves en la historia reciente de los sistemas GNU/Linux.

El identificador oficial de esta vulnerabilidad Linux sin contraseña es CVE-2026-123158, bautizada informalmente como *sshole debido a su naturaleza paradójica. La brecha afecta específicamente a configuraciones que combinan Alpine Linux con OpenSSH y musl, una biblioteca fundamental del sistema operativo. Lo particularmente preocupante es que esta vulnerabilidad Linux sin contraseña permite a usuarios no autorizados obtener acceso remoto a servidores sin poseer información de autenticación válida.

¿Cómo funciona el exploit?

Para comprender cómo es posible esta falla de seguridad, es necesario entender el funcionamiento del protocolo SSH, que es la herramienta estándar para administrar sistemas remotos de forma segura. SSH permite conectarse a equipos a través de redes utilizando contraseñas o claves criptográficas como métodos de autenticación. OpenSSH, como implementación de referencia, verifica las credenciales consultando el archivo /etc/shadow, donde Linux almacena información sensible de las cuentas.

Cuando una cuenta está configurada para rechazar autenticación por contraseña, su entrada en /etc/shadow contiene un asterisco (*). Sin embargo, el investigador de seguridad Özgün Kültekin de Wakefield identificó que bajo circunstancias específicas, OpenSSH puede comparar datos de manera incorrecta. Si una contraseña enviada por un atacante tiene entre 257 y 1.024 bytes, la función de procesamiento en musl retorna un asterisco para señalar error. Este símbolo coincide casualmente con el marcador de cuenta bloqueada, permitiendo que el servidor interprete ambos valores como coincidentes y otorgue acceso.

La cadena de eventos que creó el problema

Este fallo no surgió de un único error, sino de la interacción no prevista entre múltiples cambios realizados en sistemas distintos durante una década. En 2012, musl modificó la manera de reportar errores y estableció límites de longitud en el procesamiento de contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH implementó cambios para evitar que atacantes descubrieran información sobre qué usuarios existían en un sistema midiendo tiempos de respuesta a diferentes intentos. Finalmente, en 2022, Alpine ajustó la configuración de su cuenta administrativa para permitir acceso mediante claves SSH. Cada una de estas soluciones era legítima por separado, pero su combinación resultó en una falla de seguridad crítica.

¿Qué sistemas están realmente en riesgo?

Aunque Alpine Linux es el sistema más directamente afectado, la vulnerabilidad Linux sin contraseña no compromete automáticamente todos los servidores que ejecutan esta distribución. Según explica la firma de ciberseguridad Check Point, debe cumplirse una serie de condiciones simultáneamente para que el sistema sea vulnerable. OpenSSH debe funcionar sin PAM, debe aceptar autenticación por contraseña, debe existir una cuenta con asterisco en su campo de contraseña, y además debe haber otra cuenta local activa con un hash de contraseña generado mediante SHA-256 o SHA-512.

Los sistemas que tienen desactivada la autenticación por contraseña de forma global, o que utilizan PAM para gestionarla, están protegidos contra este ataque. Esto significa que muchas configuraciones estándar de seguridad refuerzan inadvertidamente su defensa contra esta vulnerabilidad Linux sin contraseña. No obstante, las imágenes en la nube de Alpine pueden ser especialmente vulnerables, particularmente aquellas donde la cuenta alpine posee permisos elevados para ejecutar comandos administrativos.

El riesgo para sistemas en producción

Las consecuencias pueden resultar catastróficas cuando la cuenta comprometida dispone de permisos elevados. En numerosas imágenes oficiales de Alpine utilizadas en infraestructuras en la nube, el usuario alpine puede ejecutar comandos de administrador mediante doas sin introducir contraseña adicional. Aunque estas imágenes salen del proceso de distribución siendo seguras, pueden volverse vulnerables si posteriormente se configuran cuentas con hashes de contraseña compatibles. Un atacante que explote esta vulnerabilidad Linux sin contraseña podría obtener control total del sistema y comprometer datos sensibles alojados en servidores.

La firma de seguridad Previdian ha reportado evidencia de explotación activa. Detectó ocho intentos de ataque desde una misma dirección IP y confirmó un acceso exitoso con privilegios de administrador en uno de sus servidores señuelo utilizados específicamente para detectar ataques en tiempo real. Esto indica que los actores maliciosos ya conocen esta vulnerabilidad Linux sin contraseña y la están utilizando contra sistemas en producción.

Medidas de corrección y protección

La comunidad de seguridad respondió rápidamente al descubrimiento. OpenSSH publicó el 5 de noviembre la versión 10.6p2 que contiene la corrección del fallo. Simultáneamente, Alpine distribuyó actualizaciones de seguridad para múltiples versiones de su sistema operativo, incluyendo ramas antiguas que normalmente ya no reciben mantenimiento. Sin embargo, la mera instalación de parches no garantiza protección inmediata; es fundamental reiniciar el servicio SSH para que el código corregido entre en funcionamiento.

Para sistemas que no pueden ser actualizados inmediatamente, los responsables de Alpine recomiendan como medida temporal desactivar completamente la autenticación mediante contraseña en OpenSSH. Este cambio de configuración también requiere reinicio del servicio para aplicarse. Antes de implementar esta medida, es crítico verificar que el acceso mediante claves criptográficas funciona correctamente, ya que de lo contrario se podría perder acceso al sistema.

Checklist de protección inmediata

Los administradores de sistemas deben seguir estos pasos para protegerse: primero, evaluar si sus configuraciones de Alpine Linux cumplen todas las condiciones de vulnerabilidad; segundo, si es posible, actualizar OpenSSH a la versión 10.6p2 o posterior; tercero, reiniciar el servicio SSH después de actualizar; cuarto, como medida adicional, considerar desactivar la autenticación por contraseña si la infraestructura utiliza exclusivamente acceso por claves; y finalmente, verificar los registros de acceso para detectar intentos de explotación fallidos.

Este incidente subraya la importancia de mantener los sistemas actualizados y de realizar auditorías periódicas de configuración de seguridad. Aunque la vulnerabilidad Linux sin contraseña estuvo oculta durante una década, su remediación rápida demuestra que la comunidad de desarrollo de software libre responde efectivamente cuando se detectan fallos críticos de seguridad en sistemas de producción.