Fallo *sshole en OpenSSH con musl sin PAM permite acceso remoto sin contraseña
Primero, de qué se trata
El investigador Özgün Kültekin, de Wakefield, reveló la vulnerabilidad CVE-2026-123158, bautizada *sshole, que permite acceder a distancia a determinadas cuentas de sistemas Linux sin conocer la contraseña válida enviando una contraseña de entre 257 y 1.024 caracteres, según Infobae Tecno. Se confirmó en configuraciones de Alpine Linux que combinan OpenSSH con musl y prescinden de PAM; otras plataformas podrían verse afectadas si reúnen las mismas condiciones. Según la firma de ciberseguridad Check Point, el fallo exige que se cumplan varias condiciones simultáneamente, entre ellas que OpenSSH funcione sin PAM, admita contraseñas y encuentre una cuenta con el asterisco mencionado. Los sistemas que desactivan la autenticación por contraseña quedan fuera de este escenario, igual que los que usan PAM para gestionarla. El 5 de noviembre, OpenSSH y Alpine publicaron correcciones; Alpine distribuyó paquetes para todas sus versiones compatibles, entre ellos 3.21.10, 3.22.8, 3.23.8 y 3.24.4. Sus responsables advierten de que instalar los parches no basta: también hay que reiniciar el servicio SSH para que use el código corregido. Si aún no es posible actualizar, recomiendan desactivar la autenticación mediante contraseña y reiniciar el servicio, comprobando antes que el acceso mediante claves funciona.
Generado por IA a partir de las notas · actualizado hace 1 día
Línea de tiempo de notas
Sigue las notas para conocer los distintos ángulos del evento.
- XatakaFallo en Linux permite entrar sin contraseña y llevaba una década oculto
La vulnerabilidad CVE-2026-123158, bautizada *sshole, permite acceder a distancia a determinadas cuentas de sistemas Linux sin conocer la contraseña válida. Se confirmó en configuraciones de Alpine Linux que combinan OpenSSH con musl y prescinden de PAM, y otras plataformas podrían verse afectadas si reúnen las mismas condiciones.
- Infobae TecnoDestacadaFalla en OpenSSH permitía entrar a servidores Linux sin contraseña
Una vulnerabilidad en OpenSSH, llamada sshole y hallada por Özgün Kültekin de Wakefield, permitía acceder a servidores Linux sin conocer la contraseña enviando una contraseña de entre 257 y 1.024 caracteres.
- BleepingComputerDestacadaFallo en OpenSSH permite entrar a cuentas Linux con contraseña deshabilitada
Un fallo en OpenSSH y la biblioteca musl, bautizado *sshole, permite iniciar sesión en cuentas de Alpine Linux y otras distribuciones basadas en musl configuradas para bloquear la autenticación por contraseña, solo con enviar una contraseña de tamaño excesivo.
Evolución de la popularidad del evento
Aún no hay suficientes datos continuos para trazar la tendencia.