Vulnerabilidad crítica en Linux permite acceso sin contraseña

Un fallo de seguridad que llevaba años sin descubrirse

Investigadores de ciberseguridad han identificado una vulnerabilidad crítica que permite acceder a sistemas Linux sin necesidad de conocer la contraseña válida. La vulnerabilidad Linux sin contraseña, catalogada como CVE-2026-123158 y bautizada popularmente como *sshole, representa un riesgo significativo para infraestructuras que utilizan determinadas configuraciones específicas. Este fallo fue descubierto por Özgün Kültekin, especialista en seguridad de Wakefield, quien documentó cómo ciertos sistemas podían comprometer su autenticación de manera imprevista.

El descubrimiento de esta vulnerabilidad Linux sin contraseña ha generado preocupación considerable en la comunidad de administradores de sistemas, especialmente después de que se confirmara que el problema llevaba aproximadamente una década presente en el código sin ser detectado. Las implicaciones de seguridad son profundas, ya que afecta directamente a la integridad de sistemas que se consideraban protegidos mediante configuraciones estrictas de control de acceso.

¿Cómo funciona el ataque de acceso sin contraseña?

Para comprender este fallo de seguridad, es fundamental conocer el protocolo SSH, herramienta estándar para administrar servidores de forma remota. OpenSSH, la implementación más común de este protocolo, permite autenticarse mediante contraseñas o claves criptográficas. En sistemas Linux, el archivo /etc/shadow almacena los datos necesarios para verificar las contraseñas de cada cuenta de usuario.

El mecanismo de protección establece que cuando el campo correspondiente en /etc/shadow contiene un asterisco (*), la autenticación tradicional por contraseña debe bloquearse completamente, permitiendo solo métodos alternativos como claves SSH. Sin embargo, en ciertas condiciones específicas, este sistema de protección puede fallar de manera paradójica, permitiendo exactamente lo que debería impedir.

El proceso técnico del bypass de autenticación

Según la investigación detallada de Kültekin, el problema surge cuando OpenSSH intenta validar una contraseña para una cuenta que no debería aceptarlas. Al no encontrar datos válidos en esa cuenta, el sistema recurre a información de otra cuenta del sistema para realizar la verificación. Cuando la contraseña introducida tiene una longitud específica entre 257 y 1.024 bytes, la función encargada de procesarla en musl (la biblioteca de C utilizada en Alpine Linux) devuelve un asterisco para indicar un error en el procesamiento.

La coincidencia fatal ocurre porque ese mismo símbolo de asterisco figura en la cuenta protegida. El servidor OpenSSH interpreta incorrectamente ambos valores como coincidentes, permitiendo que el atacante acceda al sistema sin proporcionar una contraseña válida. Este es un ejemplo clásico de cómo múltiples capas de software pueden interactuar de formas completamente imprevistas, creando vulnerabilidades severas.

Análisis del histórico: cómo llegamos aquí

La historia de esta vulnerabilidad Linux sin contraseña es compleja y resulta de la acumulación de cambios independientes realizados a lo largo de varios años. En 2012, la biblioteca musl modificó la forma en que comunica ciertos errores e implementó un límite de longitud en el procesamiento de contraseñas, una medida preventiva contra ataques de denegación de servicio que podrían sobrecargar el servidor.

Cuatro años después, en 2016, OpenSSH introdujo cambios adicionales en su código para impedir que atacantes determinaran qué usuarios existían en un sistema midiendo los tiempos de respuesta de las consultas de autenticación. Esta es una técnica común llamada timing attack, utilizada para extraer información sensible observando patrones de duración en las respuestas del servidor.

Finalmente, en 2022, Alpine Linux realizó ajustes en la configuración de su cuenta de administrador para permitir el acceso mediante claves SSH de forma más flexible. Cada uno de estos cambios tenía justificación técnica sólida para resolver problemas específicos de seguridad. Sin embargo, cuando se combinaban en ciertas configuraciones, estos cambios creaban la condición perfecta para que el fallo de seguridad emergiera.

¿Qué sistemas están realmente en riesgo?

Aunque Alpine Linux es mencionado frecuentemente en relación con esta vulnerabilidad, es importante aclarar que simplemente utilizar Alpine Linux no garantiza que un sistema sea vulnerable. Según análisis de firmas especializadas en ciberseguridad como Check Point, el fallo requiere que se cumplan simultáneamente varias condiciones muy específicas.

En primer lugar, OpenSSH debe estar funcionando sin el módulo PAM (Pluggable Authentication Modules), que es un mecanismo avanzado de gestión de autenticación que habría bloqueado este tipo de bypasses. En segundo lugar, OpenSSH debe tener activada la autenticación mediante contraseñas. En tercer lugar, debe existir una cuenta cuyo campo de contraseña contenga el asterisco protector mencionado anteriormente. Además, debe existir otra cuenta local activa con un hash de contraseña generado utilizando algoritmos SHA-256 o SHA-512.

Los sistemas que desactivan completamente la autenticación por contraseña, priorizando la autenticación por claves SSH, quedan fuera del alcance de esta vulnerabilidad. De igual forma, aquellos que utilizan PAM para gestionar la autenticación no son susceptibles al ataque, ya que PAM realiza validaciones adicionales que previenen este tipo de bypasses.

Impacto potencial y evidencia de explotación

Las consecuencias de esta vulnerabilidad Linux sin contraseña pueden ser particularmente graves cuando la cuenta comprometida dispone de permisos elevados de administrador. Alpine Linux ha destacado como ejemplo especialmente crítico las imágenes oficiales utilizadas en entornos cloud, donde la cuenta de usuario estándar puede ejecutar comandos de administración mediante el comando doas sin necesidad de introducir contraseña.

Aunque estas imágenes cloud son seguras en su configuración inicial de arranque, pueden volverse vulnerables si posteriormente se configura una cuenta adicional con un hash de contraseña compatible. En ese escenario, un atacante remoto podría llegar a comprometer completamente el sistema, obteniendo control total de la infraestructura.

Preocupantemente, ya existen indicios confirmados de que esta vulnerabilidad está siendo explotada activamente. La firma de seguridad Previdian reportó haber detectado ocho intentos de explotación provenientes de una misma dirección IP. Aún más alarmante, confirmaron que al menos uno de estos intentos resultó en acceso exitoso con privilegios completos de administrador en uno de sus servidores señuelo, sistemas específicamente preparados para detectar y analizar intentos de ataque.

Medidas de corrección y protección inmediata

La comunidad de desarrollo respondió rápidamente al descubrimiento de esta vulnerabilidad. OpenSSH publicó la versión 10.6p2 el 5 de noviembre de 2026, que contiene la corrección necesaria para cerrar este vector de ataque. Paralelamente, Alpine Linux distribuyó actualizaciones de seguridad para múltiples ramas de su sistema operativo, incluyendo versiones antiguas que aún están en uso en producción.

Sin embargo, los responsables de Alpine hacen énfasis en que simplemente instalar los parches no es suficiente. Es obligatorio reiniciar el servicio SSH después de aplicar las correcciones, ya que el software en ejecución continuará utilizando el código vulnerableDN hasta que sea reiniciado. El reinicio garantiza que la versión corregida del código sea cargada en memoria.

Para las organizaciones que aún no pueden aplicar las actualizaciones de seguridad por cualquier razón, se recomienda implementar una medida temporal pero efectiva: desactivar completamente la autenticación mediante contraseña en la configuración de OpenSSH y reiniciar el servicio. Esta acción elimina el vector de ataque mientras se planifica e implementa la actualización definitiva. Antes de aplicar este cambio, es crítico verificar que el acceso mediante claves criptográficas funciona correctamente, para evitar quedar bloqueado fuera del sistema.

Lecciones de seguridad y perspectiva futura

Este incidente subraya una realidad fundamental en la seguridad informática: las vulnerabilidades complejas frecuentemente resultan de la interacción imprevista entre componentes que funcionan correctamente cuando se consideran de forma aislada. Cada cambio realizado en 2012, 2016 y 2022 fue justificado y beneficioso en su contexto particular. Solo cuando se combinaron en una configuración específica emergió el problema crítico.

La vulnerabilidad Linux sin contraseña también destaca la importancia de mantener los sistemas actualizados, realizar auditorías de seguridad regulares y monitorear activamente los intentos de acceso no autorizado. Las organizaciones que utilizan Alpine Linux o cualquier distribución similar deben revisar sus configuraciones actuales para determinar si cumplen con las condiciones específicas que hacen vulnerable el sistema, implementar las actualizaciones disponibles y considerar la activación de sistemas de detección de intrusiones para captar intentos de explotación.