Vulnerabilidad Linux permite acceso sin contraseña

Una vulnerabilidad Linux sin contraseña révela fallo crítico de seguridad

Un descubrimiento alarmante ha puesto en evidencia un vulnerabilidad Linux sin contraseña que permite acceder a sistemas remotos sin credenciales válidas. La vulnerabilidad Linux sin contraseña, identificada como CVE-2026-123158 y bautizada como "*sshole", representa uno de los fallos de seguridad más preocupantes detectados en años. Este problema ha permanecido oculto durante una década en determinadas configuraciones de sistemas Linux, permitiendo que atacantes puedan comprometer servidores y cuentas protegidas de forma inesperada.

El investigador de seguridad Özgün Kültekin, con sede en Wakefield, fue quien identificó esta vulnerabilidad Linux sin contraseña. Su descubrimiento fue reportado el 5 de noviembre, fecha en que tanto OpenSSH como Alpine Linux publicaron correcciones de emergencia. El fallo específicamente afecta a configuraciones de Alpine Linux que combinan OpenSSH con musl, una biblioteca fundamental del sistema, mientras prescinden de PAM, el mecanismo estándar para gestionar autenticación en Linux.

Cómo funciona el mecanismo de acceso no autorizado

Para comprender esta vulnerabilidad Linux sin contraseña, es fundamental entender cómo opera SSH, el protocolo utilizado globalmente para administrar sistemas remotamente. SSH permite conectarse de manera segura a equipos a través de redes, facilitando la gestión de servidores sin estar físicamente presentes. OpenSSH es una implementación popular que admite autenticación mediante contraseñas o claves criptográficas.

En sistemas Linux, el archivo /etc/shadow almacena datos cruciales para verificar contraseñas de cuentas de usuario. Cuando el campo correspondiente a una cuenta contiene un asterisco (*), la autenticación ordinaria mediante contraseña debería bloquearse completamente, permitiendo únicamente otros métodos de verificación de identidad. Sin embargo, esta protección falla en ciertos escenarios específicos.

El procesamiento defectuoso de contraseñas largas

Según el análisis detallado realizado por Kültekin, el fallo emerge cuando OpenSSH verifica una contraseña para una cuenta que teóricamente no debería aceptarlas. Al no encontrar los datos necesarios en esa cuenta, utiliza información de otra cuenta para efectuar la verificación. El problema surge particularmente cuando la contraseña ingresada tiene una longitud entre 257 y 1.024 bytes.

En estas circunstancias, la función de musl encargada de procesar la contraseña devuelve un asterisco para señalar un error. El problema crítico radica en que ese mismo símbolo (*) figura en la cuenta protegida. El servidor SSH interpreta ambos valores como coincidentes, permitiendo el acceso a una cuenta que debería estar completamente bloqueada frente a autenticación por contraseña.

Origen del fallo: una década de interacciones imprevistas

La historia de este problema se remonta mucho más atrás del descubrimiento actual. En 2012, musl modificó su forma de comunicar determinados errores y estableció límites de longitud al procesar contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH implementó cambios diseñados para impedir que atacantes averiguaran qué usuarios existían en un sistema midiendo tiempos de respuesta diferenciados.

En 2022, Alpine Linux también ajustó la configuración de su cuenta de administrador para permitir acceso mediante claves SSH. Cada una de estas soluciones abordaba problemas de seguridad legítimos y separados. Sin embargo, cuando se implementaron conjuntamente en ciertos entornos, estos cambios interactuaron de formas completamente imprevistas, generando la vulnerabilidad descubierta.

Sistemas afectados y condiciones específicas

La pregunta que todos se hacen es qué equipos están realmente en riesgo. Importante aclarar que simplemente ejecutar Alpine Linux no implica necesariamente ser vulnerable. Según la firma de ciberseguridad Check Point, esta vulnerabilidad requiere que se cumplan varias condiciones simultáneamente de forma específica.

Primero, OpenSSH debe funcionar sin PAM, el mecanismo de autenticación pluggable. Segundo, el servidor debe aceptar autenticación por contraseña. Tercero, debe existir una cuenta con el asterisco protector en /etc/shadow. Cuarto, también debe haber otra cuenta local activa con un hash de contraseña generado mediante SHA-256 o SHA-512. Los sistemas que desactivan completamente la autenticación por contraseña quedan fuera de este escenario de riesgo, igual que aquellos que utilizan PAM para gestionar la autenticación.

Riesgos potenciales y evidencia de explotación

Las consecuencias pueden ser particularmente graves cuando la cuenta comprometida posee permisos elevados de administrador. Alpine ha documentado casos especiales en imágenes oficiales utilizadas en entornos cloud, donde el usuario alpine puede ejecutar comandos de administrador mediante doas sin requerir contraseña adicional. Aunque estas imágenes son seguras en su primer arranque, pueden volverse vulnerables si posteriormente se configura una cuenta con un hash de contraseña compatible.

En tales escenarios, un atacante podría llegar a obtener control total del sistema. La amenaza no es meramente teórica: la firma de ciberseguridad Previdian ha detectado ocho intentos de explotación desde una misma dirección IP y confirmó un acceso exitoso con privilegios de administrador en uno de sus servidores señuelo diseñados específicamente para detectar ataques.

Parches y recomendaciones de seguridad urgentes

La respuesta ante este descubrimiento ha sido rápida. OpenSSH publicó el 5 de noviembre la versión 10.6p2 para corregir completamente el fallo, mientras que Alpine distribuyó actualizaciones para distintas ramas de su sistema, incluyendo versiones antiguas aún soportadas. Los responsables de ambos proyectos advierten que instalar los parches no es suficiente; también es absolutamente necesario reiniciar el servicio SSH para que el sistema utilice el código corregido.

Para aquellos que todavía no pueden actualizar inmediatamente sus sistemas, se recomienda desactivar la autenticación mediante contraseña en OpenSSH como medida preventiva urgente. Luego de hacer este cambio, es imprescindible reiniciar también el servicio SSH para aplicar la configuración. Antes de implementar este cambio, deben verificar que el acceso mediante claves SSH funciona correctamente para evitar quedarse sin acceso remoto al sistema.

Impacto en la infraestructura tecnológica

Este descubrimiento subraya un problema fundamental en el desarrollo de software de seguridad: cambios bien intencionados en diferentes componentes pueden crear efectos secundarios impredecibles cuando se ejecutan conjuntamente. La vulnerabilidad permanecía dormida durante años porque solo se manifestaba bajo una combinación muy específica de circunstancias técnicas que no era común.

Para administradores de sistemas y responsables de seguridad informática, este incidente refuerza la importancia de mantener sistemas actualizados, revisar configuraciones de seguridad regularmente y aplicar parches críticos sin demoras innecesarias. La comunidad de software de código abierto ha respondido de manera profesional y coordinada, pero la vigilancia continua de la seguridad sigue siendo responsabilidad de cada organización.