Ir al contenido
Centoculus

Alerta de seguridad · Crítica

OpenSSH en Alpine Linux: inicio de sesión sin contraseña mediante contraseñas demasiado largas

· 3 minutos de lectura · Centoculus Security Team

Conocida desde el

Afectados: OpenSSH (paquete openssh-server) en Alpine Linux anterior a OpenSSH 10.6p2 / paquetes corregidos de Alpine

Qué ocurrió

El 5 de noviembre de 2026, el proyecto OpenSSH publicó OpenSSH 10.6p2 como corrección urgente de una omisión crítica de autenticación que afecta a Alpine Linux. En servidores Alpine que usan el paquete estándar openssh-server, un atacante puede iniciar sesión en cuentas que no tienen contraseña establecida, por ejemplo cuentas que están pensadas para usarse únicamente con claves SSH.

Lo único que necesita el atacante es un nombre de cuenta válido y una contraseña de entre 257 y 1.024 bytes de longitud. OpenSSH 10.6p2 bloquea este comportamiento, y Alpine ha publicado paquetes corregidos. Hasta el momento no hay informes de explotación activa, pero las condiciones para un ataque son sencillas, por lo que cabe esperarlo en breve.

Quién está afectado

  • Servidores y máquinas virtuales con Alpine Linux que ejecuten el paquete estándar openssh-server y que no se hayan actualizado desde la corrección.
  • Contenedores e imágenes basados en Alpine que incluyan y ejecuten sshd.
  • Cualquier cuenta sin contraseña es un posible objetivo, incluidas las cuentas que solo usan claves. Los atacantes tienen que conocer o adivinar el nombre de la cuenta, por lo que nombres comunes como root, admin, o los usuarios de despliegue o de copias de seguridad son los más expuestos.

Los informes sobre este problema no señalan otras distribuciones como afectadas.

Qué hacer ahora

  1. Localice todos los sistemas Alpine que ejecuten un servidor SSH: cat /etc/alpine-release y apk info -e openssh-server.
  2. Mantenga abierta una sesión SSH existente como medida de respaldo mientras actualiza.
  3. Actualice el índice de paquetes y OpenSSH: apk update && apk upgrade openssh openssh-server.
  4. Reinicie el demonio SSH para que se use la versión corregida: rc-service sshd restart.
  5. Abra una segunda sesión SSH nueva para confirmar que sigue pudiendo iniciar sesión antes de cerrar la anterior.
  6. En las imágenes de contenedor basadas en Alpine que ejecuten sshd, reconstruya las imágenes sobre una base actualizada y vuelva a desplegar los contenedores. Actualizar solo un contenedor en ejecución se pierde en el siguiente despliegue.
  7. Hasta que todos los sistemas estén actualizados, restrinja el acceso al puerto 22 mediante un cortafuegos o un grupo de seguridad, limitándolo a las direcciones IP conocidas de los administradores.

Para conocer las versiones exactas de los paquetes Alpine corregidos, consulte los avisos de Alpine y de OpenSSH enlazados a continuación.

Cómo comprobar si está afectado

  • Compruebe la versión instalada con apk info -v openssh-server y ssh -V, y compárela con los paquetes corregidos indicados en los avisos enlazados a continuación. Los sistemas que no se hayan actualizado desde el 5 de noviembre de 2026 deben considerarse vulnerables.
  • Confirme que el proceso sshd en ejecución se reinició después de la actualización, por ejemplo revisando la hora de inicio del proceso con ps -o pid,etime,args | grep sshd.
  • Revise los registros SSH (en Alpine suele ser /var/log/messages o /var/log/auth.log, según la configuración de syslog) buscando entradas Accepted password for en cuentas que solo deberían iniciar sesión con claves. Estas entradas en cuentas solo con claves son un indicio sólido de compromiso.
  • Busque inicios de sesión inesperados, nuevas entradas en ~/.ssh/authorized_keys, nuevas cuentas de usuario o tareas cron desconocidas en sistemas que fueron accesibles desde Internet. Si encuentra indicios de uso indebido, aísle el sistema y reconstrúyalo desde una fuente de confianza en lugar de limpiarlo in situ.

Fuentes

Otras fuentes (1)