Qué pasó
- El investigador Ozgun Kultekin reveló el 5 de noviembre de 2026 una falla llamada *sshole en la interacción entre OpenSSH y musl, una biblioteca de C liviana que usan distribuciones de Linux como Alpine.
- Un atacante puede entrar a ciertas cuentas configuradas para bloquear contraseñas con solo escribir una contraseña de más de 256 caracteres.
- Los mantenedores de Alpine lo resumieron así: quien alcance el puerto SSH puede iniciar sesión sin saber ninguna contraseña, con una conexión y sin reintentos.
- OpenSSH publicó la corrección en la versión 10.6p2 el mismo jueves. Alpine también lanzó su actualización.
Por qué importa
- Linux marca con un asterisco las cuentas que no deben usar contraseña. Esa señal de protección es justo lo que la falla convierte en entrada.
- Alpine se usa en routers, televisores inteligentes y controladores industriales, muchos de ellos difíciles o imposibles de actualizar, según Ars Technica.
- Sus imágenes oficiales para AWS y Azure traen una cuenta alpine afectada con privilegios doas sin contraseña, lo que podría dar acceso de administrador, advierte Kultekin.
El dato
256 bytes. Es el límite de la función crypt() de musl. Si la contraseña lo excede, la función devuelve un asterisco, que OpenSSH compara con el asterisco guardado en la cuenta. Coinciden, y el acceso se concede.
Contexto
El error nació de un arreglo. En 2016, OpenSSH cambió su comportamiento para corregir la falla CVE-2016-6210, que permitía deducir nombres de usuario por los tiempos de respuesta. Desde entonces calcula un hash incluso en cuentas sin clave utilizable, y ahí se cruza con musl.
Hay condiciones: un sistema con musl, autenticación PAM desactivada, como viene por defecto en Alpine, y una cuenta con asterisco. Check Point agrega que otra cuenta debe usar SHA256 o SHA512, porque sshd toma prestada su sal. Los sistemas con glibc, como Debian, Ubuntu y Fedora, no son vulnerables. Tampoco se pueden saltar contraseñas en cuentas con hash válido.
OpenSSH y musl discrepan sobre dónde está la raíz: cada uno ubica la responsabilidad en el otro lado. Ars Technica señala además que no se conoce un CVE asignado. Kultekin dice que la encontró con agentes de IA que corrieron unas 17.600 pruebas de autenticación.
En Mamífero hemos seguido fallas de este tipo. Contamos que PHP corrigió dos fallas de ejecución remota estancadas dos años y que atacantes usaron la actualización de cPGuard para robar datos. También que WorkOS sufrió un ataque automatizado y que Claude probó la seguridad de 123 bibliotecas abiertas.
Qué viene
- Los administradores de Alpine deben correr
apk upgrade openssho, si no pueden, desactivarPasswordAuthenticationen SSH. - Conviene revisar los registros en busca de ingresos con contraseña en cuentas que no deberían admitirlos.
- Falta confirmar si OpenWrt, Buildroot y Yocto están afectados: OpenWrt usa por defecto Dropbear y no OpenSSH, según Ars Technica.
Cierre
Un arreglo de 2016 y un valor de error en otra biblioteca abrieron una puerta durante diez años. Lo difícil ahora será cerrarla en los equipos que nadie actualiza.
Fuentes
- BleepingComputer, “OpenSSH flaw lets attackers log into password-disabled Linux accounts”, 5 de noviembre de 2026, enlace.
- Ars Technica, “Meet *sshole, the vulnerability that lets hackers SSH into Linux devices”, 5 de noviembre de 2026, enlace.
- Imagen de portada: Esquilo, CC BY-SA 3.0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
