Corrigen vulnerabilidad sshole en OpenSSH para servidores Linux

Una vulnerabilidad de seguridad, identificada como sshole, permitió que atacantes accedieran sin contraseña a algunos servidores Linux que utilizan OpenSSH para conexiones remotas. El problema, que afectaba principalmente a sistemas con configuraciones específicas y a distribuciones como Alpine Linux, fue corregido el 5 de noviembre con una actualización de seguridad crítica¹.

La falla se presentaba cuando un atacante enviaba una contraseña excesivamente larga, lo que podía engañar al sistema y otorgar acceso indebido a cuentas diseñadas para no requerir contraseña. La actualización ya está disponible y se recomienda aplicarla de inmediato o, en su defecto, desactivar el acceso por contraseña para mitigar el riesgo¹.

Qué es la vulnerabilidad sshole

La vulnerabilidad sshole permitía que un atacante ingresara sin conocer la contraseña a servidores Linux que usan OpenSSH, siempre que se cumplieran ciertas condiciones. El ataque consistía en enviar una contraseña de entre 257 y 1,024 caracteres, lo que provocaba que el sistema confundiera una contraseña inválida y demasiado larga con la señal utilizada para cuentas sin contraseña¹.

El problema afectaba principalmente a sistemas que emplean la variante musl de Linux, con el acceso por contraseña habilitado y sin la herramienta de autenticación PAM. Alpine Linux, muy usado en servicios en la nube, traía esta configuración por defecto¹.

Qué sistemas y cuentas fueron afectados

No todos los servidores Linux estaban en riesgo. Los más afectados eran aquellos con configuraciones específicas, como Alpine Linux, OpenWrt, Buildroot y Yocto, utilizados en servidores livianos, servicios en la nube y dispositivos conectados a internet¹.

El acceso indebido solo era posible en cuentas configuradas para no pedir contraseña escrita, que suelen estar protegidas con una llave digital o reservadas para administración. Además, debía existir al menos otra cuenta con una contraseña vulnerable¹.

Distribuciones populares como Debian, Ubuntu y Fedora, así como OpenBSD, FreeBSD, macOS y el programa Dropbear, no presentaron la falla, según la firma de seguridad Wakefield¹.

Corrección y recomendaciones para administradores

La actualización que corrige la vulnerabilidad fue publicada el 5 de noviembre para todas las versiones compatibles de Alpine Linux, incluyendo 3.21.10, 3.22.8, 3.23.8 y 3.24.4¹. Se recomienda actualizar OpenSSH y reiniciar el servicio, ya que instalar la corrección no modifica el programa en ejecución¹.

Como medida alternativa, puede desactivarse el acceso por contraseña. Revisar los registros del sistema ayuda a detectar accesos irregulares; si hay sospecha de intrusión, el servidor debe considerarse comprometido¹.

Origen de la falla y descubrimiento

El origen de la vulnerabilidad se remonta a un cambio realizado en OpenSSH en 2016 para proteger la privacidad de los usuarios. Esta modificación, combinada con el comportamiento de musl al recibir contraseñas largas, permitió el acceso indebido¹.

La vulnerabilidad fue descubierta por Özgün Kültekin, investigador de la firma de seguridad Wakefield, quien también identificó riesgos en imágenes oficiales de Alpine Linux para servicios en la nube de Amazon y Microsoft¹.

Preguntas frecuentes

¿Qué es la vulnerabilidad sshole en OpenSSH?

Es una falla que permitía a un atacante ingresar sin contraseña a ciertos servidores Linux al enviar una contraseña muy larga, engañando al sistema para otorgar acceso indebido¹.

¿Cómo afecta la falla de seguridad a los servidores Linux?

Afecta a servidores con configuraciones específicas, principalmente Alpine Linux, permitiendo el acceso no autorizado a cuentas que no requieren contraseña escrita, si se cumplen ciertas condiciones¹.

¿Qué medidas se deben tomar para proteger los servidores afectados?

Se recomienda actualizar OpenSSH y reiniciar el servicio o, como alternativa, desactivar el acceso por contraseña. También es útil revisar los registros del sistema para detectar accesos irregulares¹.

¿Quién descubrió y corrigió esta vulnerabilidad?

La vulnerabilidad fue descubierta por Özgün Kültekin, investigador de la firma de seguridad Wakefield. El equipo de OpenSSH publicó la corrección el 5 de noviembre¹.

Nota de la Redacción: esta nota se basa en la información disponible al publicarla y se actualizará si otras fuentes aportan más datos.

Fuentes

Texto elaborado por la Redacción de Columna Digital a partir de estas fuentes:

1. Infobae ↩

Redacción Columna Digital. Es posible que en la preparación de esta nota se hayan usado herramientas de inteligencia artificial para reunir fuentes, procesar datos, corregir o redactar textos, bajo la supervisión del equipo de Redacción.